Enligt 31 § PuL skall den personuppgiftsansvarige vidta åtgärder för att skydda de personuppgifter som behandlas , och av 32 § i samma lag framgår att tillsynsmyndigheten får besluta om vilka säkerhetsåtgärder som skall vidtas .