En l'RGPD s'estableix una sèrie de limitacions de l'exercici dels drets dels interessats, l'abast de les quals es concreta –en la pràctica– en una sèrie d'excepcions a l'exercici dels drets del capítol III del mateix RGPD, i dels principis recollits en l'article 5 –dins el capítol 2–, quan es vinculin a aquests drets.
En l'article 23, l'RGPD ofereix un catàleg dels supòsits que justifiquen les limitacions de l'exercici de drets, que –en essència– responen als supòsits que es recollien en la Directiva 95/46/CE –article 13.1. Com a novetats destacables, es fa una referència als «objectius importants d'interès públic general» i no només als de caràcter econòmic o financer, així com a la protecció de la independència judicial, i a l'execució de sentències (per bé que s'indica –de demandes civils).
L'existència d'aquestes limitacions requereix que siguin formulades per la llei, que respecti els drets i les llibertats fonamentals. Així mateix, s'exigeix que es tracti d'una mesura necessària i proporcionada en una societat democràtica per a l'èxit dels objectius; en l'apartat 2 del mateix article 23 de l'RGPD es fixa expressament el contingut mínim d'aquesta disposició per assegurar l'establiment de les garanties adequades.
Article 23. Limitacions (RGPD)
1. El Dret de la Unió o dels estats membres que s'apliqui al responsable o l'encarregat del tractament pot limitar, a través de mesures legislatives, l'abast de les obligacions i dels drets que s'estableixen en els articles 12-22 i l'article 34, així com en l'article 5 en la mesura en què les seves disposicions es corresponguin amb els drets i les obligacions que s'estableixen en els articles 12-22, quan aquesta limitació respecti en el que és essencial els drets les i llibertats fonamentals i sigui una mesura necessària i proporcionada en una societat democràtica per salvaguardar:
a) la seguretat de l'Estat;
b) la defensa;
c) la seguretat pública;
d) la prevenció, la investigació, la detecció o l'enjudiciament d'infraccions penals o l'execució de sancions penals, incloent-hi la protecció davant amenaces a la seguretat pública i la seva prevenció;
e) altres objectius importants d'interès públic general de la Unió o d'un estat membre, en particular un interès econòmic o financer important de la Unió o d'un estat membre, incloent-hi els àmbits fiscal, pressupostari i monetari, la sanitat pública i la seguretat social;
f) la protecció de la independència judicial i dels procediments judicials;
g) la prevenció, la investigació, la detecció i l'enjudiciament d'infraccions de normes deontològiques en les professions regulades;
h) una funció de supervisió, inspecció o reglamentació vinculada, fins i tot ocasionalment, amb l'exercici de l'autoritat pública en els casos que s'estableixen en les lletres a) a e) i g);
i) la protecció de l'interessat o dels drets i llibertats d'altres;
j) l'execució de demandes civils.
2. En particular, qualsevol mesura legislativa indicada en l'apartat 1 ha de contenir com a mínim, si escau, disposicions específiques relatives a:
a) la finalitat del tractament o de les categories de tractament;
b) les categories de dades personals de què es tracta;
c) l'abast de les limitacions establertes;
d) les garanties per evitar accessos o transferències il·lícits o abusius;
e) la determinació del responsable o de categories de responsables;
f) els terminis de conservació i les garanties aplicables tenint en compte la naturalesa de l'abast i els objectius del tractament o les categories de tractament;
g) els riscs per als drets i les llibertats dels interessats, i
h) el dret dels interessats a ser informats sobre la limitació, llevat de si pot ser perjudicial per als fins de la limitació.