Bestämmelserna motsvarar vad som gäller för informationssäkerhet hos vårdgivare enligt 4 kap. 2 och 3 § § patientdatalagen ( 2008:355 ) och förtydligar vad som redan får anses följa av artikel 32 i dataskyddsförordningen om säkerhet i samband med behandlingen , där bl.a. framgår att den personuppgiftsansvarige och personuppgiftsbiträdet ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå .