О чём эта статья
Статья 23 позволяет странам ЕС законом ограничивать права субъекта данных из статей 12–22 — но только ради конкретных, значимых публичных целей и при соблюдении строгих условий.
23(1) — Допустимые цели ограничения
Право Союза или государства-члена может ограничить объём прав и обязанностей из статей 12–22 и статьи 34 законодательной мерой, если ограничение уважает суть фундаментальных прав и является необходимой и соразмерной мерой в демократическом обществе для защиты: национальной безопасности; обороны; общественной безопасности; предотвращения, расследования и преследования преступлений; других важных целей публичного интереса (включая экономические и финансовые интересы, общественное здоровье и социальное обеспечение); независимости суда; предотвращения нарушений этики регулируемых профессий; контрольных и надзорных функций, связанных с перечисленным выше; защиты самого субъекта данных или прав других лиц; либо для защиты прав по гражданским искам.
23(2) — Что должна содержать такая мера
Любая такая законодательная мера должна, где это уместно, конкретно определять: цели обработки; категории данных; объём вводимых ограничений; гарантии против злоупотреблений; конкретного контролёра; сроки хранения; риски для прав субъектов; и право субъекта быть проинформированным об ограничении, если это не вредит самой цели ограничения.
Почему это важно
Эта статья — не «лазейка», а узкая и формализованная процедура: правительство не может просто заявить «у нас государственная необходимость» и снять с себя все обязательства GDPR. Ограничение должно быть оформлено законом, соразмерно цели и соответствовать конкретному перечню условий из пункта 2 — иначе оно само становится нарушением.