Článek 23 GDPR – Omezení
1. Právo Unie nebo členského státu, které se na správce nebo zpracovatele vztahuje, může prostřednictvím legislativního opatření omezit rozsah povinností a práv uvedených v článcích 12 až 22 a v článku 34, jakož i v článku 5, v rozsahu, v jakém ustanovení tohoto článku odpovídají právům a povinnostem stanoveným v článcích 12 až 22, jestliže takové omezení respektuje podstatu základních práv a svobod a představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zajistit:
a) národní bezpečnost;
b) obranu;
c) veřejnou bezpečnost;
d) prevenci, vyšetřování, odhalování či stíhání trestných činů nebo výkon trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení;
e) jiné důležité cíle obecného veřejného zájmu Unie nebo členského státu, zejména důležitý hospodářský nebo finanční zájem Unie nebo členského státu, včetně peněžních, rozpočtových a daňových záležitostí, veřejného zdraví a sociálního zabezpečení;
f) ochranu nezávislosti soudnictví a soudních řízení;
g) prevenci, vyšetřování, odhalování a stíhání porušování etických pravidel regulovaných povolání;
h) monitorovací, inspekční nebo regulační funkci spojenou, i pouze příležitostně, s výkonem veřejné moci v případech uvedených v písmenech a) až e) a g);
i) ochranu subjektu údajů nebo práv a svobod druhých;
j) vymáhání občanskoprávních nároků.
2. Každé legislativní opatření uvedené v odstavci 1 zejména obsahuje konkrétní ustanovení, alespoň, je-li to relevantní, pokud jde o:
a) účely zpracování nebo kategorie zpracování;
b) kategorie osobních údajů;
c) rozsah zavedených omezení;
d) záruky proti zneužití údajů nebo protiprávnímu přístupu k nim či jejich protiprávnímu předání;
e) specifikaci správců nebo kategorie správců;
f) doby uložení a platné záruky s ohledem na povahu, rozsah a účely zpracování nebo kategorie zpracování;
g) rizika z hlediska práv a svobod subjektů údajů; a
h) právo subjektů údajů být informováni o daném omezení, pokud toto informování nemůže být na újmu účelu omezení.