sou · H5B397 · 2017-12-08 00:00:00 — Samtliga nu uppräknade bestämmelser ska enligt våra för- slag i avsnitt 10.1.3 och 10.3.3 tillämpas av Rekryteringsmyndig- heten. Vår bedömning är att bestämmelser med det innehåll som krävs enligt artikel 23.2 i dataskyddsförordningen, bl.a. bestämmel- ser om skyddsåtgärder, finns i den reglering som föreslås gälla för personuppgiftsbehandling. behandling av personuppgifter utförs i en verksamhet som inte omfattas av dataskyddsförordningens egentliga tillämpningsområde. Det står således i och för sig den svenske lagstiftaren fritt att föreslå ett undantag från rätten att göra invändningar på detta område. Vi har ändå funnit anledning att bedöma om förutsättningarna enligt dataskyddsförordningen för att föreskriva undantag från rätten att göra invändningar är upp- fyllda och anser att så är fallet. En bestämmelse som anger att artikel 21.1 i dataskyddsförordningen inte ska gälla vid behandling enligt denna lag eller föreskrifter som har meddelats med stöd av lagen bör därför föras in i den nya lagen. I 31 § första stycket personuppgiftslagen föreskrivs att den person- uppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av a) de tekniska möjligheter som finns, b) vad det skulle kosta att genomföra åtgärderna, c) de särskilda risker som finns med behand- lingen av personuppgifterna, och d) hur känsliga de behandlade personuppgifterna är. Vidare anges i 32 § personuppgiftslagen att tillsynsmyndigheten i enskilda fall får besluta om säkerhetsåtgärder enligt 31 §. Enligt 16 § personuppgiftsförordningen får Datainspek- tionen meddela närmare föreskrifter om säkerhetsåtgärder men har endast lämnat vägledning i form av allmänna råd. Pliktregisterlagen innehåller ingen särskild bestämmelse om säker- het för personuppgifter som behandlas hos Rekryteringsmyndighe- ten. I stället är personuppgiftslagens bestämmelser om säkerhets- åtgärder tillämpliga (jfr 4 § pliktregisterlagen). Av vikt för säkerheten vid behandlingen är vidare att Rekryterings- myndigheten ska ställa de villkor för direktåtkomst och registrering av uppgifter som myndigheten bedömer vara nödvändiga för registrets säkerhet (3 § tredje stycket förordningen om behandling av person- uppgifter). Därutöver ska i sin årsredo- visning rapportera till Försvarsdepartementet om användandet av registret och efterlevnaden av säkerhetskraven (5 § andra stycket förordningen). Informationssäkerhet i ett vidare perspektiv För sekretesskyddade uppgifter som rör rikets säkerhet finns sär- skilda bestämmelser om säkerhetsskydd i säkerhetsskyddslagen (1996:627). Kompletterande bestämmelser finns i säkerhetsförord- ningen (1996:633) och i Försvarsmaktens (FFS 2003:7) föreskrifter om säkerhetsskydd. Reglerna om säkerhetsskydd är föremål för översyn.16 har meddelat interna bestämmelser om säkerhetsskydd (RIB 2011:9). I de bestämmelserna regleras myndig- hetens säkerhetsskydd. Myndigheten har också beslutat interna bestämmelser om it-säkerhet (RIB 2011:10). De bestämmelserna gäller vid planering, utveckling, anskaffning och avveckling samt vid 16 Regeringen beslutade en lagrådsremiss med förslag till en ny säker- hetsskyddslag. drift, ändring och annan användning av informationstekniska system (it-system) inom . Artikel 32.1 i dataskyddsförordningen motsvarar i princip 31 § första stycket personuppgiftslagen. Enligt artikel 32.1 ska den per- sonuppgiftsansvarige och personuppgiftsbiträdet vidta lämpliga tek- niska och organisatoriska åtgärder för att säkerställa en säkerhets- nivå som är lämplig i förhållande till risken. Åtgärderna ska vara lämpliga med beaktande av den senaste utvecklingen, genomförande- kostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter. Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandling medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röj- ande av eller obehörig åtkomst till de personuppgifter som över- förts, lagrats eller på annat sätt behandlats (artikel 32.2). Artikel 32 kompletterar det grundläggande kravet i artikel 5.1 f i dataskyddsförordningen att personuppgifter, med användning av lämpliga tekniska eller organisatoriska åtgärder, ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse. har inte särskilt behandlat kraven på säker- het i dataskyddsförordningen. Utredningens bedömning: Dataskyddsförordningens bestämmel- ser om säkerhet för personuppgifter (artiklarna 5.1 f och 32) är direkt tillämpliga och bör tillämpas av . Någon bestämmelse om säkerhet för personuppgifter behöver därför inte föras in i lagen. Av de direkt tillämpliga bestämmelserna om säkerhet för person- uppgifter i dataskyddsförordningen (artiklarna 5.1 f och 32) följer att en personuppgiftsansvarig ska vidta lämpliga tekniska och orga- nisatoriska åtgärder för att skydda de personuppgifter som be- handlas i myndighetens verksamhet. Bestämmelserna ska tillämpas av alla personuppgiftsansvariga, såväl enskilda som offentliga, när förordningens bestämmelser börjar gälla. har haft att tillämpa personuppgiftslagens generellt gällande bestämmelser om säkerhet för personuppgifter. Vi ser inte att det finns något behov av att nu införa särskilda bestämmelser med andra krav på säkerhet än de som följer av dataskyddsförordningen. Någon bestämmelse om säkerhet för personuppgifter behöver därför inte föras in i den nya lagen. Det kan dock konstateras att det kan behövas bestämmelser om säkerhet som rör vissa delar av den personuppgiftsbehandling som äger rum hos . Det är exempelvis viktigt att ställer de villkor för direktåtkomst och registrering av personuppgifter som myndigheten bedömer vara nödvändiga för att säkerställa en nödvändig säkerhetsnivå. Vi har i avsnitt 9.7.2 ovan lämnat ett förslag till bestämmelse i den nya förordningen som säkerställer skyddet för personuppgifter i detta avseende. En annan viktig säkerhetsfråga är att anställdas tillgång till personuppgifter begränsas. I denna del föreslår vi en bestäm- melse i den nya lagen. Den personuppgiftsansvariges skyldighet att se till att lämpliga tekniska och organisatoriska säkerhetsåtgärder vidtas har ett nära samband med ansvaret för informationssäkerheten i hela verksam- heten. Inte minst har denna omständighet aktualitet i Rekryterings- myndighetens verksamhet där personuppgiftsbehandlingen är av vikt för rikets säkerhet. Det kan konstateras att Rekryterings- myndigheten har utfärdat interna bestämmelser om säkerhetsskydd och it-säkerhet som kompletterar de grundläggande bestämmelser som finns på området i bl.a. säkerhetsskyddslagen. 9.12.1Allmänt om begreppet personuppgiftsincident Begreppet personuppgiftsincident definieras i artikel 4.12 i data- skyddsförordningen som en säkerhetsincident som leder till oav- siktlig eller olaglig förstöring, förlust eller ändring eller till obe- hörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats. Begreppet mot- svarar till viss del vad som brukar kallas dataintrång. Med person- uppgiftsincident avses dock inte bara ett sådant avsiktligt intrång, utan även olyckshändelser och andra oavsiktliga händelser som får oönskade effekter, t.ex. brand. I 20 § förordningen (2015:1052) om krisberedskap och bevak- ningsansvariga myndigheters åtgärder vid höjd beredskap och i 10 a § säkerhetsskyddsförordningen används uttrycket it-incident för att beskriva i princip samma sak (SOU 2017:29 s. 329). Efter- som begreppet personuppgiftsincident används i dataskyddsförord- ningen kommer vi fortsättningsvis att använda oss av detta begrepp. Det finns inga bestämmelser om personuppgiftsincidenter i person- uppgiftslagen eller i pliktregisterlagen. Incidenter behandlas inte heller i Datainspektionens allmänna råd om säkerhet. Av 20 § första stycket förordningen om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap framgår dock att en myndighet skyndsamt ska rapportera it-incidenter som inträffat i myndighetens informationssystem till Myndigheten för samhälls- skydd och beredskap. Det gäller om incidenten allvarligt kan på- verka säkerheten i den informationshantering som myndigheten ansvarar för eller i tjänster som myndigheten tillhandahåller åt en annan organisation. En myndighet som tillhandahåller it-tjänster åt en annan organisation ska informera och vid behov samråda med den eller de uppdragsgivare som berörs av incidenten (andra stycket). Rapporteringsskyldigheten omfattar dock inte sådana it-incidenter som enligt 10 a § säkerhetsskyddsförordningen ska rapporteras till Säkerhetspolisen eller Försvarsmakten (tredje stycket). Exempel på sådana incidenter är incidenter i informationssystem där hemliga uppgifter som gäller säkerhet behandlas eller i informa- tionssystem som särskilt behöver skyddas mot terrorism. Säkerhets- skyddsförordningen gäller för myndigheter, kommuner och lands- ting och för vissa bolag, föreningar, stiftelser och enskilda (SOU 2017:29, s. 330 f.). har med stöd av säkerhetsskyddsförordningen utfärdat interna bestämmelser om säkerhetsskydd (RIB 2011:9) och om it-säkerhet (RIB 2011:10). Enligt skäl 85 i dataskyddsförordningen kan en personuppgiftsinci- dent som inte snabbt åtgärdas på lämpligt sätt leda till fysisk, mate- riell eller immateriell skada för fysiska personer. Exempel på skador som kan uppkomma är enligt nämnda skäl bl.a. diskriminering, identitetsstöld, bedrägeri, ekonomisk förlust, skadat anseende eller förlust av konfidentialitet när det gäller personuppgifter som omfattas av tystnadsplikt. Enligt artikel 33.1 i dataskyddsförord- ningen ska den personuppgiftsansvarige vid en personuppgiftsincident således utan onödigt dröjsmål och, om så är möjligt, inte senare än efter att ha fått vetskap om den, anmäla personupp- giftsincidenten till den tillsynsmyndighet som är behörig i enlighet med artikel 55, såvida det inte är osannolikt att personuppgifts- incidenten medför en risk för fysiska personers rättigheter och friheter. Om anmälan till tillsynsmyndigheten inte görs inom 72 tim- mar ska den åtföljas av en motivering till förseningen. Anmälan ska enligt tredje stycket åtminstone a)beskriva personuppgiftsincidentens art, inbegripet, om så är möj- ligt, de kategorier av och det ungefärliga antalet registrerade som berörs samt de kategorier av och det ungefärliga antalet person- uppgiftsposter som berörs, b)förmedla namnet på och kontaktuppgifterna för dataskydds- ombudet eller andra kontaktpunkter där mer information kan erhållas, c)beskriva de sannolika konsekvenserna av personuppgiftsincidenten, och d)beskriva de åtgärder som den personuppgiftsansvarige har vid- tagit eller föreslagit för att åtgärda personuppgiftsincidenten, inbegripet, när så är lämpligt, åtgärder för att mildra dess poten- tiella negativa effekter. Om och i den utsträckning det inte är möjligt att tillhandahålla infor- mationen , får informationen tillhandahållas i omgångar utan onödigt ytterligare dröjsmål (fjärde stycket). Den personupp- giftsansvarige ska dokumentera alla personuppgiftsincidenter, inbe- gripet omständigheterna kring personuppgiftsincidenten, dess effek- ter och de korrigerande åtgärder som vidtagits. Dokumentationen ska göra det möjligt för tillsynsmyndigheten att kontrollera efterlevnaden av artikeln (femte stycket). Av artikel 34.1 i dataskyddsförordningen följer vidare att om personuppgiftsincidenten sannolikt leder till en hög risk för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige utan onödigt dröjsmål informera den registrerade om personupp- giftsincidenten. Informationen ska innehålla en tydlig och klar beskrivning av personuppgiftsincidentens art och åtminstone de upplysningar och åtgärder som avses i artikel 33.3 b, c och d (andra stycket). Information till den registrerade krävs dock inte enligt tredje stycket om något av följande villkor är uppfyllt: a)Den personuppgiftsansvarige har genomfört lämpliga tekniska och organisatoriska skyddsåtgärder och dessa åtgärder tillämpats på de personuppgifter som påverkades av personuppgiftsinci- denten, i synnerhet sådana som ska göra uppgifterna oläsbara för alla personer som inte är behöriga att få tillgång till personupp- gifterna, såsom kryptering. b)Den personuppgiftsansvarige har vidtagit ytterligare åtgärder som säkerställer att den höga risk för registrerades rättigheter och friheter som avses i punkt 1 sannolikt inte längre kommer att uppstå. c)Det skulle inbegripa en oproportionell ansträngning. I så fall ska i stället allmänheten informeras eller en liknande åtgärd vidtas genom vilken de registrerade informeras på ett lika effektivt sätt. Om den personuppgiftsansvarige inte redan har informerat den registrerade om personuppgiftsincidenten får tillsynsmyndigheten, efter att ha bedömt sannolikheten för att personuppgiftsincidenten medför en hög risk, kräva att personuppgiftsbiträdet gör det eller får besluta att något av de villkor som avses i punkt 3 uppfylls (fjärde stycket). Utredningen om 2016 års dataskyddsdirektiv har i delbetänkandet Brottsdatalag (SOU 2017:29 s. 330 f.) föreslagit att den personupp- giftsansvarige ska anmäla en personuppgiftsincident till tillsynsmyndigheten. Ett undantag föreslås emellertid från denna skyldighet i de fall där incidenten rör nationell säkerhet. Någon anmälan behöver inte göras om det kan antas att incidenten inte har medfört eller kommer att medföra någon risk för otill- börligt intrång i den registrerades personliga integritet. Enligt utredningen uppfyller en personuppgiftsincident kriterierna för en it-incident. Det innebär att de flesta behöriga myndigheter kommer att behöva anmäla sådana incidenter enligt två olika för- faranden och till olika myndigheter. It-incidenter som kan antas påverka säkerheten för hemliga uppgifter som rör säkerhet ska enligt förslaget dock enbart anmälas enligt säkerhetsskydds- förordningen. Behovet av att skydda sådan information anses vara så viktigt att endast den myndighet som utövar tillsyn över säker- hetsskyddet ska få ta del av den. Även om den rapporteringen har ett annat syfte än rapporteringen av personuppgiftsincidenter, anser utredningen att behovet av skydd för uppgifter som rör säkerhet väger tyngre än behovet av att skydda enskilda från even- tuella intrång i den personliga integriteten. Eftersom nationell säkerhet ligger utanför direktivets tillämpningsområde bedömer utredningen att sådana personuppgiftsincidenter som ska anmälas enligt 10 a § säkerhetsskyddsförordningen inte bör anmälas till till- synsmyndigheten (a.a. s. 331 f.). 9.12.5Våra överväganden och förslag Utredningens förslag: Dataskyddsförordningens bestämmelser om anmälan av en personuppgiftsincident till tillsynsmyndig- heten och information till den registrerade (artiklarna 33 och 34) ska inte gälla vid behandling enligt denna lag eller föreskrifter som har meddelats med stöd av lagen. En sådan bestämmelse ska därför föras in i lagen. Inledningsvis bör det framhållas att dataskyddsförordningen inte omfattar behandling av personuppgifter som utgör ett led i en verk- samhet som inte omfattas av unionsrätten (artikel 2.2 a). I skäl 16 till dataskyddsförordningen anges verksamhet som rör nationell säkerhet som ett exempel på en verksamhet som enligt led a inte omfattas av unionsrättens tillämpningsområde. I 1 kap. 2 § den föreslagna dataskyddslagen föreslås att bestämmelserna i data- skyddsförordningen, i den ursprungliga lydelsen, och i lagen i tillämpliga delar ska gälla även vid behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unions- rätten. Vi har anslutit oss till förslag (se avsnitt 6.2.6). Det innebär att dataskyddsförordningen och data- skyddslagen även kommer att omfatta behandling av personuppgifter om totalförsvarspliktiga och annan personal inom totalförsvaret. Med detta sagt, bör det erinras om att dataskyddsförordningens bestämmelser inte har utformats med verksamhet som nationell säkerhet och försvar i åtanke. Tvärtom faller sådan verksamhet som huvudregel utanför unionsrätten och dataskyddsförordningens tillämpningsområde, vilket följer direkt av dataskyddsförordningen (artikel 2.2 a och skäl 16). Detta inne- bär att det finns skäl att särskilt överväga om vissa av de skyldig- heter som åläggs personuppgiftsansvariga i dataskyddsförordningen fullt ut bör tillämpas av myndigheter verksamma inom totalförsvaret, såsom . Det är av stor vikt att det finns ett tillräckligt skydd för per- sonuppgifter som behandlas inom verk- samhetsområde. Den information som hanteras av Rekryterings- myndigheten är emellertid per definition i hög grad av betydelse för rikets säkerhet. Det finns en ordning som innebär att it-incidenter som allvarligt kan antas påverka säkerheten i infor- mationssystem där hemliga uppgifter som rör rikets säkerhet be- handlas, ska anmälas till Försvarsmakten och Säkerhetspolisen. Be- hovet av att skydda sådan information anses vara så viktigt att endast den myndighet som utövar tillsyn över säkerhetsskyddet ska få ta del av den (SOU 2017:29, s. 332). Detta synsätt gör sig alltjämt gällande i fråga om behandling av personuppgifter om totalförsvarspliktiga och annan personal inom totalförsvaret. De särskilda behov som följer av sådan person- uppgiftsbehandling på totalförsvarsområdet måste därför särskilt beaktas i den nu föreslagna regleringen. Vi bedömer mot denna bakgrund att behovet av skydd för uppgifter som rör säkerhet och försvar medför att dataskyddsförordningens bestäm- melser om anmälan av en personuppgiftsincident till tillsynsmyn- digheten och information till den registrerade inte ska tillämpas av . En bestämmelse som anger att artiklar- na 33 och 34 i dataskyddsförordningen inte ska gälla vid behandling enligt denna lag eller föreskrifter som har meddelats med stöd av lagen ska därför föras in i den nya lagen. Det kan emellertid konstateras att den rapporteringsskyldighet som gäller i förhållande till Försvarsmakten och Säkerhets- polisen rör it-incidenter och inte personuppgiftsincidenter. Begreppen kan uppfattas ha olika räckvidd. Det kan därför finnas anledning att framöver överväga om personuppgiftsincidenter får ett likvärdigt skydd vid den it-incidentrapportering som beskrivs ovan jämfört med den rapportering som ska ske enligt dataskyddsförordningen. Vi bedömer att det är lämpligare att sådana överväganden görs i ett bredare sammanhang som omfattar också annan personuppgifts- behandling som rör rikets säkerhet. Vi gör därför inga ytterligare överväganden i den frågan. Datainspektionens, befogenheter regleras i 43–47 §§ personuppgiftslagen. Enligt 43 § personuppgiftslagen har Datainspektionen rätt att för sin tillsyn på begäran få tillgång till personuppgifter, upplysningar och dokumentation om behand- lingen av personuppgifter och säkerheten vid denna samt tillträde till lokaler som har anknytning till behandlingen. Om Datainspek- tionen inte efter en begäran enligt 43 § kan få tillräckligt underlag för att konstatera att behandlingen av personuppgifter är laglig, får myndigheten med stöd av 44 § vid vite förbjuda den personupp- giftsansvarige att behandla personuppgifter på något annat sätt än genom att lagra dem. Om Datainspektionen enligt 45 § konstaterar att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt, ska myndigheten genom påpekanden eller liknande förfaranden försöka åstadkomma rättelse. Går det inte att få rättelse på något annat sätt eller är saken brådskande, får myndigheten vid vite förbjuda den personuppgiftsansvarige att fortsätta behandla personuppgifterna på något annat sätt än genom att lagra dem. I 46 § första stycket anges att den personuppgiftsansvarige ska ha fått tillfälle att yttra sig innan Datainspektionen beslutar om vite enligt 44 eller 45 §. Om saken är brådskande, får dock myndigheten i avvaktan på yttrandet meddela ett tillfälligt beslut om vite. Det tillfälliga beslutet ska omprövas, när tiden för yttrande har gått ut. Enligt 47 § får Datainspektionen ansöka hos förvaltningsrätten om att sådana personuppgifter som har behandlats på ett olagligt sätt ska utplånas. Beslut om utplånande får inte meddelas om det är oskäligt. Bestämmelserna i personuppgiftslagen om Datainspektionens befo- genheter att meddela förbud mot att behandla personuppgifter är inte tillämpliga vid personuppgiftsbehandling om totalför- svarspliktiga i verksamhet. I 17 § plikt- registerlagen anges att tillsynsmyndigheten enligt personuppgifts- lagen inte får förbjuda att behandla person- uppgifter om totalförsvarspliktiga. I förarbetena (prop. 1997/98:80, s.48 f.) till bestämmelsen anförde regeringen att Rekryterings- myndighetens registrering och övriga behandling av personupp- gifter om totalförsvarspliktiga är nödvändig för att totalförsvarets personalförsörjning ska . Det är inte rimligt att Datainspek- tionen ska ha möjlighet att förbjuda behandling av personuppgifter i en statlig verksamhet av sådan vikt, även om inspektionen skulle finna att uppgifterna behandlas på ett olagligt sätt. Det förefaller inte troligt att ett behov skulle uppkomma för Datainspektionen att förbjuda att behandla personuppgifter. En sådan åtgärd förutsätter i praktiken dels att Rekryterings- myndigheten behandlat uppgifterna på ett olagligt sätt, dels att myndigheten inte rättat sig efter påpekanden från Datainspek- tionen. Med tanke på den betydelse som Rekryteringsmyndig- hetens behandling av personuppgifter har för totalförsvar anser regeringen dock att lagstiftningen inte ens bör ge Data- inspektionen möjlighet att stoppa verksamheten. I övrigt är dock behandling av personuppgifter om total- försvarspliktiga underkastad tillsyn. Dataskyddsförordningen innehåller direkt tillämpliga bestämmelser om tillsynsmyndighetens befogenheter. Dessa befogenheter är mer detaljerat reglerade än dem som anges i personuppgiftslagen. Till- synsmyndighetens utredningsbefogenheter enligt artikel 58.1 i data- skyddsförordningen motsvarar i stora drag de befogenheter som tillkommer myndigheten enligt personuppgiftslagen. De s.k. korri- gerande befogenheterna, som framgår av artikel 58.2, är däremot mer omfattande. Enligt led g i den angivna artikeln får bl.a. till- synsmyndigheten förelägga om radering av personuppgifter och enligt led i får myndigheten påföra administrativa sanktionsavgif- ter. Vidare anges i artikel 58.3 vilken möjlighet myndigheten har att utfärda tillstånd och att ge råd (SOU 2017:39, s. 309). Enligt artikel 58.5 ska det i den nationella lagstiftningen faststäl- las att tillsynsmyndigheten har befogenhet att upplysa de rättsliga myndigheterna om överträdelser av förordningen och vid behov inleda eller på annat vis delta i rättsliga förfaranden, för att verk- ställa bestämmelserna. Varje medlemsstat får enligt artikel 58.6 före- skriva att dess tillsynsmyndighet ska ha ytterligare befogenheter, utöver dem som avses i punkterna 1, 2 och 3. Utredningen om till- synen över den personliga integriteten har i sitt betänkande Ett samlat ansvar för tillsyn över den personliga integriteten (SOU 2016:65, s. 154 f.) konstaterat att det inte finns något behov av att ge Datainspektionen sådana ytterligare befogenheter. I artikel 58.4 anges att utövandet av de befogenheter som tillsyns- myndigheten tilldelas enligt denna artikel ska omfattas av lämpliga skyddsåtgärder, inbegripet effektiva rättsmedel och rättssäkerhet, som fastställs i unionsrätten och i medlemsstaternas nationella rätt i enlighet med stadgan. I artikel 83.8 upprepas kravet på lämpliga skyddsåtgärder avseende tillsynsmyndighetens befogenheter att påföra administrativa sanktionsavgifter.