Artículo 23 RGPD - Limitaciones

1. El Derecho de la Unión o de los Estados miembros que se aplique al responsable o el encargado del tratamiento podrá limitar, a través de medidas legislativas, el alcance de las obligaciones y de los derechos establecidos en los artículos 12 a 22 y el artículo 34, así como en el artículo 5 en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 12 a 22, cuando tal limitación respete en lo esencial los derechos y libertades fundamentales y sea una medida necesaria y proporcionada en una sociedad democrática para salvaguardar:
a) la seguridad del Estado;
b) la defensa;
c) la seguridad pública;
d) la prevención, investigación, detección o enjuiciamiento de infracciones penales o la ejecución de sanciones penales, incluida la protección frente a amenazas a la seguridad pública y su prevención;
e) otros objetivos importantes de interés público general de la Unión o de un Estado miembro, en particular un interés económico o financiero importante de la Unión o de un Estado miembro, inclusive en los ámbitos fiscal, presupuestario y monetario, la sanidad pública y la seguridad social;
f) la protección de la independencia judicial y de los procedimientos judiciales;
g) la prevención, la investigación, la detección y el enjuiciamiento de infracciones de normas deontológicas en las profesiones reguladas;
h) una función de supervisión, inspección o reglamentación vinculada, incluso ocasionalmente, con el ejercicio de la autoridad pública en los casos contemplados en las letras a) a e) y g);
i) la protección del interesado o de los derechos y libertades de otros;
j) la ejecución de demandas civiles.
2. En particular, cualquier medida legislativa indicada en el apartado 1 contendrá como mínimo, en su caso, disposiciones específicas relativas a:
a) la finalidad del tratamiento o de las categorías de tratamiento;
b) las categorías de datos personales de que se trate;
c) el alcance de las limitaciones establecidas;
d) las garantías para evitar accesos o transferencias ilícitos o abusivos;
e) la determinación del responsable o de categorías de responsables;
f) los plazos de conservación y las garantías aplicables habida cuenta de la naturaleza, alcance y objetivos del tratamiento o las categorías de tratamiento;
g) los riesgos para los derechos y libertades de los interesados, y
h) el derecho de los interesados a ser informados sobre la limitación, salvo si puede ser perjudicial a los fines de esta.

Preguntas frecuentes

Respuestas breves a preguntas habituales sobre esta disposición. Constituyen información general y no asesoramiento jurídico.

El apartado 1 permite que una medida legislativa limite el alcance de las obligaciones y de los derechos establecidos en los artículos 12 a 22 y el artículo 34, así como en el artículo 5 en la medida en que sus disposiciones se correspondan con esos derechos y obligaciones. Toda limitación debe respetar en lo esencial los derechos y libertades fundamentales y ser una medida necesaria y proporcionada en una sociedad democrática para salvaguardar uno de los objetivos enumerados.

Las letras a) a j) del apartado 1 los enumeran, y comprenden la seguridad del Estado, la defensa, la seguridad pública, la prevención, investigación, detección o enjuiciamiento de infracciones penales y la ejecución de sanciones penales, otros objetivos importantes de interés público general como los ámbitos monetario, presupuestario, fiscal, de sanidad pública y de seguridad social, la independencia judicial y los procedimientos judiciales, las infracciones de normas deontológicas en las profesiones reguladas, las funciones conexas de supervisión, inspección o reglamentación vinculadas al ejercicio de la autoridad pública, la protección del interesado o de los derechos y libertades de otros, y la ejecución de demandas civiles.

No. El apartado 1 exige una medida legislativa y el apartado 2 prescribe su contenido mínimo, de modo que una limitación informal o puramente administrativa de los derechos del interesado no puede ampararse en el artículo 23.

El apartado 2 exige disposiciones específicas, como mínimo y en su caso, sobre la finalidad del tratamiento o las categorías de tratamiento, las categorías de datos personales, el alcance de las limitaciones, las garantías para evitar accesos o transferencias ilícitos o abusivos, la determinación del responsable del tratamiento o de las categorías de responsables, los plazos de conservación y las garantías aplicables, los riesgos para los derechos y libertades de los interesados, y el derecho de los interesados a ser informados sobre la limitación, salvo si informarles pudiera ser perjudicial a los fines de esta.

No. La disposición se circunscribe a los artículos 12 a 22, al artículo 34 sobre la comunicación de violaciones de la seguridad al interesado, y al artículo 5 únicamente en la medida en que sus principios se correspondan con los derechos y obligaciones de los artículos 12 a 22. Las obligaciones ajenas a esa lista, como la seguridad del artículo 32 o los requisitos de licitud del artículo 6, no pueden limitarse a través del artículo 23.