Article 23 RGPD - Limitations

1. Le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement ou le sous-traitant est soumis peuvent, par la voie de mesures législatives, limiter la portée des obligations et des droits prévus aux articles 12 à 22 et à l’article 34, ainsi qu’à l’article 5 dans la mesure où les dispositions du droit en question correspondent aux droits et obligations prévus aux articles 12 à 22, lorsqu’une telle limitation respecte l’essence des libertés et droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir:
a) la sécurité nationale;
b) la défense nationale;
c) la sécurité publique;
d) la prévention et la détection d’infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces;
e) d’autres objectifs importants d’intérêt public général de l’Union ou d’un État membre, notamment un intérêt économique ou financier important de l’Union ou d’un État membre, y compris dans les domaines monétaire, budgétaire et fiscal, de la santé publique et de la sécurité sociale;
f) la protection de l’indépendance de la justice et des procédures judiciaires;
g) la prévention et la détection de manquements à la déontologie des professions réglementées, ainsi que les enquêtes et les poursuites en la matière;
h) une mission de contrôle, d’inspection ou de réglementation liée, même occasionnellement, à l’exercice de l’autorité publique, dans les cas visés aux points a) à e) et g);
i) la protection de la personne concernée ou des droits et libertés d’autrui;
j) l’exécution des demandes de droit civil.
2. En particulier, toute mesure législative visée au paragraphe 1 contient des dispositions spécifiques relatives, au moins, le cas échéant:
a) aux finalités du traitement ou des catégories de traitement;
b) aux catégories de données à caractère personnel;
c) à l’étendue des limitations introduites;
d) aux garanties destinées à prévenir les abus ou l’accès ou le transfert illicites;
e) à la détermination du responsable du traitement ou des catégories de responsables du traitement;
f) aux durées de conservation et aux garanties applicables, en tenant compte de la nature, de la portée et des finalités du traitement ou des catégories de traitement;
g) aux risques pour les droits et libertés des personnes concernées; et
h) au droit des personnes concernées d’être informées de la limitation, à moins que cela risque de nuire à la finalité de la limitation.

Considérants pertinents

Foire aux questions

Réponses brèves aux questions fréquentes sur cette disposition. Elles constituent une information générale et non un conseil juridique.

Le paragraphe 1 autorise une mesure législative à limiter la portée des obligations et des droits prévus aux articles 12 à 22 et à l’article 34, ainsi qu’à l’article 5 dans la mesure où ses dispositions correspondent à ces droits et obligations. Toute limitation doit respecter l’essence des libertés et droits fondamentaux et constituer une mesure nécessaire et proportionnée dans une société démocratique pour garantir l’un des objectifs énumérés.

Les points a) à j) du paragraphe 1 les énumèrent: la sécurité nationale, la défense nationale, la sécurité publique, la prévention et la détection d’infractions pénales ainsi que les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, d’autres objectifs importants d’intérêt public général tels que les domaines monétaire, budgétaire et fiscal, de la santé publique et de la sécurité sociale, la protection de l’indépendance de la justice et des procédures judiciaires, la prévention et la détection de manquements à la déontologie des professions réglementées, une mission de contrôle, d’inspection ou de réglementation liée à l’exercice de l’autorité publique, la protection de la personne concernée ou des droits et libertés d’autrui, et l’exécution des demandes de droit civil.

Non. Le paragraphe 1 exige une mesure législative, et le paragraphe 2 en prescrit le contenu minimal, de sorte qu’une limitation informelle ou purement administrative des droits des personnes concernées ne peut se fonder sur l’article 23.

Le paragraphe 2 exige des dispositions spécifiques relatives, au moins, le cas échéant, aux finalités du traitement ou des catégories de traitement, aux catégories de données à caractère personnel, à l’étendue des limitations introduites, aux garanties destinées à prévenir les abus ou l’accès ou le transfert illicites, à la détermination du responsable du traitement ou des catégories de responsables du traitement, aux durées de conservation et aux garanties applicables, aux risques pour les droits et libertés des personnes concernées, ainsi qu’au droit de celles-ci d’être informées de la limitation, à moins que cela risque de nuire à sa finalité.

Non. La disposition est circonscrite aux articles 12 à 22, à l’article 34 relatif à la communication d’une violation à la personne concernée, et à l’article 5 uniquement dans la mesure où ses principes correspondent aux droits et obligations prévus aux articles 12 à 22. Les obligations extérieures à cette liste, telles que la sécurité au titre de l’article 32 ou les exigences de licéité de l’article 6, ne peuvent être limitées par la voie de l’article 23.