Det är upp till personuppgiftsansvariga att bestämma vilka åtgärder som ska vidtas .