1. Законодавство Союзу або держави-члена, яке поширюється на контролера або оператора, може обмежувати за допомогою законодавчого інструменту обсяг обов’язків і прав, передбачений в статтях 12 — 22 і статті 34, а також статті 5, відповідно до того, наскільки його положення відображають права і обов’язки, передбачені в статтях 12 — 22, якщо таке обмеження зберігає сутність фундаментальних прав і свобод і є необхідним та пропорційним заходом у демократичному суспільстві для забезпечення:

(a) національної безпеки;

(b) оборони;

(c) громадської безпеки;

(d) запобігання, розслідування, виявлення або переслідування за скоєння кримінальних злочинів або для виконання кримінальних покарань, у тому числі, захисту від або запобіганню загрозам громадській безпеці;

(e) інших важливих цілей загального суспільного інтересу Союзу або держави-члена, зокрема важливого економічного чи фінансового інтересу Союзу або держави-члена, в тому числі, питань валютної, бюджетної і податкової політики, охорони суспільного здоров’я та соціального забезпечення;

(f) захисту незалежності судових органів і судових процесів;

(g) запобігання, розслідування, виявлення або переслідування за порушення етичних норм для регульованих професій;

(h) моніторингу, перевірки чи регуляторної функції, пов’язаної, навіть періодично, з реалізацією офіційних повноважень у випадках, вказаних у пунктах (a) — (e) та (g);

(i) захисту суб’єкта даних або прав і свобод інших осіб;

(j) виконання цивільно-правових позовів.

2. Зокрема, будь-який законодавчий інструмент, вказаний у параграфі 1, повинен містити спеціальні положення, за необхідності, принаймні щодо:

(a) цілей опрацювання чи категорій опрацювання;

(b) категорій персональних даних;

(c) обсяг введених обмежень;

(d) гарантій запобігання зловживанню чи незаконному доступу або передаванню;

(e) детальної інформації щодо контролера або категорій контролерів;

(f) періодів зберігання та застосовних гарантій, з огляду на специфіку, обсяг та цілі опрацювання чи категорій опрацювання;

(g) ризиків для прав і свобод суб’єктів даних; або

(h) право суб’єктів даних бути повідомленими про обмеження, за винятком порушень цілі обмеження.