Articolul 23 GDPR permite statelor membre (prin legislație națională) să restrângă unele dintre drepturile și obligațiile GDPR, dar doar în situații excepționale, expres reglementate și proporționale. Nu e o „portiță" pentru firme private, ci un mecanism rezervat legiuitorului.
Ce prevede articolul?
- Restricțiile pot viza drepturi precum accesul, informarea sau opoziția, dar numai printr-o măsură legislativă, nu prin decizia unilaterală a unui operator.
- Scopurile permise includ: securitatea națională, apărarea, prevenirea și investigarea infracțiunilor, obiective importante de interes public general (ex. fiscal, sănătate publică), protecția judiciară sau protecția persoanei vizate ori a drepturilor altora.
- Orice restricție trebuie să respecte esența drepturilor fundamentale și principiul proporționalității — nu poate fi generală și nelimitată.
Ce înseamnă în practică pentru o firmă?
Aproape nicio firmă privată nu poate invoca direct Art. 23 pentru a refuza o cerere a unei persoane vizate — restricțiile derivă din legi speciale (de exemplu, legislația privind prevenirea spălării banilor, legislația fiscală sau anumite reglementări din domeniul financiar-bancar), nu dintr-o decizie internă. Când o firmă refuză o cerere de acces sau ștergere, refuzul trebuie fundamentat pe o normă legală concretă, nu pe simpla comoditate operațională.
Exemplu concret
O bancă poate limita, temporar, dreptul de acces al unui client la anumite informații dacă acestea fac parte dintr-o investigație activă privind prevenirea spălării banilor, întemeiată pe legislația specifică din domeniu. O firmă de e-commerce obișnuită nu are, în schimb, niciun temei să invoce Art. 23 pentru a ignora o cerere de ștergere.
Greșeli frecvente
- Invocarea „intereselor firmei" ca temei de restricționare, deși Art. 23 cere o bază legislativă concretă.
- Confundarea restricțiilor legale cu excepțiile deja prevăzute la alte drepturi (ex. obligația legală de păstrare a facturilor din Art. 17).
- Aplicarea unei restricții generale, nedocumentate, în loc de una punctuală și motivată.
Se leagă de dreptul de acces și dreptul la ștergere, drepturi care pot fi restrânse doar în condițiile de mai sus. Vezi și ghidul GDPR. Ai o situație în care crezi că poți restrânge un drept? Verificăm temeiul legal.
Întrebări frecvente
Poate o firmă privată să refuze o cerere GDPR invocând Art. 23?
Doar dacă există o lege specifică ce permite restricția (ex. legislație anti-spălare de bani, fiscală). Nu poate invoca Art. 23 direct, din proprie inițiativă, fără o bază legislativă.