(1) Държавите членки могат да приемат законодателни мерки, които ограничават изцяло или частично правото на достъп на субекта на данните, до степен и срок, при които такова частично или пълно ограничаване представлява необходима и пропорционална мярка в едно демократично общество, като надлежно се вземат под внимание основните права и легитимните интереси на засегнатото физическо лице, за да:
а) се избегне възпрепятстването на официални или съдебни проучвания, разследвания или процедури;
б) не се допусне неблагоприятно влияние върху предотвратяването, разкриването, разследването или наказателното преследване на престъпления или изпълнението на наказания;
в) се защити обществената сигурност;
г) се защити националната сигурност;
д) се защитят правата и свободите на други лица.
(2) Държавите членки могат да приемат законодателни мерки, за да определят категориите обработване, които могат изцяло или частично да попадат в обхвата на параграф 1, букви а) — д).
(3) В случаите, посочени в параграфи 1 и 2, държавите членки предвиждат администраторът да информира без излишно забавяне в писмена форма субекта на данните за всеки отказ на достъп или ограничаване на достъпа и за причините за отказа или ограничаването. Тази информация може да бъде пропусната, когато предоставянето на такава информация би възпрепятствало постигането на някоя от целите, посочени в параграф 1. Държавите членки предвиждат администраторът да информира субекта на данните за възможността за подаване на жалба до надзорен орган или за търсене на защита по съдебен ред.
(4) Държавите членки предвиждат администраторът да документира фактическите или правните основания, на които се основава решението. Тази информация се предоставя на надзорните органи.