Edición provisional
CONCLUSIONES DEL ABOGADO GENERAL
SR. DEAN SPIELMANN
presentadas el 25 de septiembre de 2025 (1)
Asunto C‑474/24
AR,
YT,
DI,
RN
con intervención de:
Österreichische Datenschutzbehörde,
Nationale Anti-Doping Agentur Austria GmbH (NADA Austria),
Österreichische Anti-Doping Rechtskommission (ÖADR)
[Petición de decisión prejudicial planteada por el Bundesverwaltungsgericht (Tribunal Federal de lo Contencioso-Administrativo, Austria)]
« Procedimiento prejudicial — Protección de los datos personales — Reglamento (UE) 2016/679 — Artículos
2, 5, 6, 9 y 10 — Ámbito de aplicación — Concepto de “datos relativos a la salud” — Concepto de “datos personales relativos a condenas e infracciones penales” — Lucha contra el dopaje en el ámbito del deporte — Publicación en línea del nombre de la persona que ha infringido las normas antidopaje, de la duración de su exclusión de los acontecimientos deportivos y de los motivos de dicha exclusión — Ponderación de los intereses — Proporcionalidad — Artículos
77 a 79 — Vías de recurso — Tutela judicial efectiva »
Índice
Introducción
Marco jurídico
Derecho de la Unión
Derecho austriaco
Litigio principal, cuestiones prejudiciales y procedimiento ante el Tribunal de Justicia
Apreciación
Sobre la primera cuestión prejudicial
Sobre la interpretación estricta de la excepción del artículo 2, apartado 2, letra a), del RGPD
La actividad «antidopaje» no está excluida del ámbito de aplicación del RGPD…
–
aunque sea competencia de los Estados miembros
–
y a pesar de su «falta» de carácter económico
Conclusión sobre la primera cuestión prejudicial
Sobre la segunda cuestión prejudicial
Sobre la interpretación amplia del concepto de «datos relativos a la salud»
Aplicación en el presente asunto
Conclusión sobre la segunda cuestión prejudicial
Sobre la quinta cuestión prejudicial
Trascendencia del carácter «penal» de las condenas e infracciones en el sentido del artículo 10 del RGPD
Análisis del carácter «penal» o no, en el sentido del artículo 10 del RGPD, de las condenas e infracciones antidopaje
–
Calificación jurídica de la infracción en el Derecho interno
–
Naturaleza de la infracción
–
Grado de gravedad de la sanción
Conclusión sobre la quinta cuestión prejudicial
Sobre la sexta cuestión prejudicial
Sobre las cuestiones prejudiciales tercera y cuarta
Sobre la proporcionalidad de la publicación en cuestión
–
Observaciones preliminares y recordatorio de los principios
–
Sobre la idoneidad de la publicación para alcanzar los objetivos perseguidos
–
Sobre la necesidad de la publicación a la luz de los objetivos perseguidos
–
Sobre la proporcionalidad stricto sensu, a saber, la ponderación de los intereses en juego
Sobre el momento de la ponderación
Conclusiones sobre las cuestiones prejudiciales tercera y cuarta
Sobre la séptima cuestión prejudicial
¿Es admisible una reclamación ante la autoridad de control antes del tratamiento de datos?
¿Pasa a ser admisible «a posteriori» la reclamación presentada ante la autoridad de control?
Conclusión sobre la séptima cuestión prejudicial
Conclusión
Introducción
1.        La normativa del deporte se encuentra en la intersección
de varias fuentes normativas. Así lo demuestra la normativa antidopaje, que es el resultado de una coproducción normativa privada y pública. En particular, el Código Mundial Antidopaje (en lo sucesivo, «CMA»), adoptado en aplicación de los estatutos de la Agencia Mundial Antidopaje (en lo sucesivo, «AMA»), es un instrumento de carácter privado que los Estados signatarios se han comprometido a respetar a través de la Convención Internacional de las Naciones Unidas contra el Dopaje en el Deporte. (2) Esta normativa, destinada a armonizar las políticas, normas y reglamentos antidopaje de las organizaciones deportivas y de las autoridades públicas en todo el mundo, forma así un sistema jurídico sectorial transnacional muy específico. (3)
2.        El Tribunal de Justicia ya ha tenido ocasión de pronunciarse sobre la compatibilidad de ciertas normativas del deporte con el Derecho de la Unión, en particular desde el punto de vista de la libre prestación de servicios o de la competencia. (4)
3.        El presente asunto brinda al Tribunal de Justicia una ocasión sin precedentes (5) para examinar determinados aspectos de la normativa antidopaje a la luz de las exigencias vinculadas a la protección de los datos personales. En efecto, se trata de conciliar, por una parte, las exigencias de un deporte ético, que se manifestarían en el presente asunto en la publicación nominativa, en línea, de las sanciones impuestas a los deportistas cuando infrinjan las normas antidopaje, y, por otra parte, la protección de los datos personales de esos deportistas, derivada del Reglamento (UE) 2016/679 (6) (en lo sucesivo, «RGPD»).
4.        En un momento en el que se está revisando el CMA, (7) el alcance de la sentencia que recaerá en este asunto podría trascender las fronteras europeas.
Marco jurídico
Derecho de la Unión
5.        El artículo
16 TFUE establece, en su apartado
1, que toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan. Su apartado
2 dispone que «el Parlamento Europeo y el Consejo establecerán, con arreglo al procedimiento legislativo ordinario, las normas sobre protección de las personas físicas respecto del tratamiento de datos de carácter personal por las instituciones, órganos y organismos de la Unión, así como por los Estados miembros en el ejercicio de las actividades comprendidas en el ámbito de aplicación del Derecho de la Unión, y sobre la libre circulación de estos datos. El respeto de dichas normas estará sometido al control de autoridades independientes».
6.        El artículo
165 TFUE establece, en su apartado 2, que la acción de la Unión se encaminará, en particular, a «desarrollar la dimensión europea del deporte, promoviendo la equidad y la apertura en las competiciones deportivas y la cooperación entre los organismos responsables del deporte, y protegiendo la integridad física y moral de los deportistas, especialmente la de los más jóvenes». A tal efecto, su apartado
4 prevé que el «Consejo adoptará, a propuesta de la Comisión, recomendaciones».
7.        El considerando 35 del RGPD indica que «entre los datos personales relativos a la salud se deben incluir todos los datos relativos al estado de salud del interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro. Se incluye la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria […]; todo número, símbolo o dato asignado a una persona física que la identifique de manera unívoca a efectos sanitarios; la información obtenida de pruebas o exámenes de una parte del cuerpo o de una sustancia corporal, incluida la procedente de datos genéticos y muestras biológicas, y cualquier información relativa, a título de ejemplo, a una enfermedad, una discapacidad, el riesgo de padecer enfermedades, el historial médico, el tratamiento clínico o el estado fisiológico o biomédico del interesado, independientemente de su fuente, por ejemplo un médico u otro profesional sanitario, un hospital, un dispositivo médico, o una prueba diagnóstica in vitro».
8.        El artículo 2 del RGPD, titulado «Ámbito de aplicación material», dispone en su apartado
1 que «el presente Reglamento se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero». Del artículo 2, apartado
2, letra a), del RGPD resulta que dicho Reglamento no se aplica al tratamiento de datos personales «en el ejercicio de una actividad no comprendida en el ámbito de aplicación del Derecho de la Unión».
9.        El artículo 4 del RGPD, titulado «Definiciones», establece en el punto 15 que, a efectos de este Reglamento, por «datos relativos a la salud» se entiende aquellos
«datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud».
10.      El artículo 5 de dicho Reglamento, titulado «Principios relativos al tratamiento», establece:
«1.      Los datos personales serán:
a)      tratados de manera lícita, leal y transparente en relación con el interesado (“licitud, lealtad y transparencia”);
[…]
c)      adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (“minimización de datos”);
[…]»
11.      El artículo 6 del citado Reglamento, titulado «Licitud del tratamiento», tiene el siguiente tenor:
«1.      El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
[…]
c)      el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
[…]
e)      el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
[…]
3.      La base del tratamiento indicado en el apartado 1, letras c)
y e), deberá ser establecida por:
a)      el Derecho de la Unión, o
b)      el Derecho de los Estados miembros que se aplique al responsable del tratamiento.
La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.
[…]»
12.      El artículo
9, apartado
1, del RGPD, titulado «Tratamiento de categorías especiales de datos personales», prohíbe, en particular, el tratamiento de datos personales relativos a la salud. Del artículo
9, apartado
2, letra g), de este Reglamento resulta que el apartado 1 no es de aplicación cuando «el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado».
13.      El artículo 10 del RGPD, titulado «Tratamiento de datos personales relativos a condenas e infracciones penales», dispone que «el tratamiento de datos personales relativos a condenas e infracciones penales […] solo podrá llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados. Solo podrá llevarse un registro completo de condenas penales bajo el control de las autoridades públicas».
14.      El artículo 77
del RGPD, titulado «Derecho a presentar una reclamación ante una autoridad de control», establece en su apartado 1:
«Sin perjuicio de cualquier otro recurso administrativo o acción judicial, todo interesado tendrá derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro en el que tenga su residencia habitual, lugar de trabajo o lugar de la supuesta infracción, si considera que el tratamiento de datos personales que le conciernen infringe el presente Reglamento.»
15.      El artículo
78
del RGPD, titulado «Derecho a la tutela judicial efectiva contra una autoridad de control», dispone en su apartado 1:
«Sin perjuicio de cualquier otro recurso administrativo o extrajudicial, toda persona física o jurídica tendrá derecho a la tutela judicial efectiva contra una decisión jurídicamente vinculante de una autoridad de control que le concierna.»
Derecho austriaco
16.      Del artículo 5, apartado 5, de la Anti-Doping-Bundesgesetz 2021 (Ley federal contra el Dopaje de 2021), de 23 de diciembre de 2020 (BGBl. I, 152/2020; en lo sucesivo, «ADBG»), resulta que la Nationale Anti-Doping Agentur Austria GmbH (Agencia Independiente de Lucha Contra el Dopaje, Austria; en lo sucesivo, «NADA») es una sociedad de utilidad pública de responsabilidad limitada que ejerce las funciones de organismo independiente de control del dopaje y es responsable del tratamiento de los datos personales.
17.      A tenor del artículo 5, apartado 6, punto 4, de la ADBG, la NADA informará a la Bundes-Sportorganisation (Organización Deportiva Federal, Austria), a las organizaciones deportivas, a los deportistas y a otras personas y a los organizadores de competiciones, así como, gratuitamente, al público en general, sobre determinadas informaciones, a saber, «las medidas cautelares (por ejemplo, las suspensiones) y exclusiones de deportistas y de otras personas de las que haya tenido conocimiento […], así como del levantamiento de tales medidas, con mención del nombre de las personas afectadas, de la duración de la exclusión y de los motivos de esta, sin que sea posible inferir a partir de ahí categorías especiales de datos personales, en particular los relativos a la salud, de dichas personas. En el caso de personas especialmente vulnerables y de deportistas aficionados, esta información podrá ser omitida […]».
18.      El artículo
6, apartado
2, de la ADBG dispone, en particular, que la NADA velará por la seguridad de los datos personales y de las categorías especiales de datos personales, de conformidad con los artículos 32 a 34 del RGPD. Esta disposición precisa que «la necesidad del tratamiento de datos se deriva de la aplicación efectiva de las normas antidopaje del [CMA] y de las disposiciones de la presente Ley federal, en la medida en que los interesados se hayan comprometido contractualmente a cumplir con el CMA». Además, «las categorías especiales de datos personales, en particular los datos sobre la salud, solo podrán ser objeto de tratamiento cuando resulte indispensable en virtud de las normas antidopaje de la presente Ley federal o del CMA».
19.      La Österreichische Anti-Doping Rechtskommission (Comisión Jurídica Antidopaje Austriaca; en lo sucesivo, «ÖADR») es una comisión pública e independiente de los órganos gubernamentales, de los particulares y de la NADA que, en aplicación del artículo 7, apartado
1, de la ADBG, «tramitará los procedimientos disciplinarios para la federación deportiva federal competente, de conformidad con las normas antidopaje vigentes de la federación deportiva internacional competente (procedimientos antidopaje)».
20.      En virtud del artículo
21, apartado
3, de la ADBG, «a más tardar veinte días después de que la resolución haya adquirido firmeza, la [ÖADR] informará a la Bundes-Sportorganisation [Organización Deportiva Federal], a las organizaciones deportivas, a los deportistas y a otras personas y a los organizadores de competiciones, así como al público en general, de las medidas cautelares impuestas (por ejemplo, las suspensiones) y de las decisiones adoptadas en el procedimiento antidopaje, indicando el nombre de las personas de que se trate, la duración de la suspensión y los motivos de esta, sin que de los datos publicados puedan extraerse conclusiones sobre la salud de dichas personas. Cuando se trate de personas especialmente vulnerables, de deportistas aficionados o de personas que, facilitando información u otras indicaciones, hayan contribuido significativamente al esclarecimiento de posibles infracciones en materia de dopaje, podrá omitirse esta información. En el caso de los deportistas aficionados, se procederá a una comunicación por razones de salud pública cuando se haya declarado la existencia de una infracción de la normativa antidopaje de las contempladas en el artículo 1, apartado 2, puntos 3 y 9 a 11».
21.      Del artículo
23, apartado
14, de la ADBG resulta, en esencia, que se imponen las mismas obligaciones a la Unabhängige Schiedskommission (Comisión Independiente de Arbitraje, Austria; en lo sucesivo, «USK»).
Litigio principal, cuestiones prejudiciales y procedimiento ante el Tribunal de Justicia
22.      En el marco de procedimientos antidopaje, los deportistas AR, YT, DI y RN (en lo sucesivo, «recurrentes») han sido objeto de decisiones de suspensión (por un período determinado o a perpetuidad, según los casos), adoptadas bien por la ÖADR, competente para tramitar los procedimientos antidopaje, bien por la USK, competente para revisar las decisiones de la ÖADR.
23.      En virtud de la legislación austriaca en materia antidopaje, las suspensiones decididas por la ÖADR o la USK son publicadas en forma de lista en su sitio de Internet por la NADA. Durante la vigencia de las suspensiones, esta lista incluye el nombre y apellido del deportista en cuestión, el deporte que practica, la infracción de las normas antidopaje cometida, la sanción impuesta y las fechas de inicio y fin de la sanción. La ÖADR publica también esos mismos datos, así como la sustancia prohibida que, en su caso, se haya usado, mediante un comunicado en su propio sitio de Internet.
24.      Los días 14 y 15 de octubre de 2021, los recurrentes solicitaron a la ÖADR y a la NADA que dejasen de figurar sus nombres y los deportes que practican. La ÖADR y la NADA no accedieron a estas solicitudes.
25.      El 22 de octubre de 2021, los recurrentes presentaron ante la Österreichische Datenschutzbehörde (Autoridad Austriaca de Protección de Datos, Austria) una reclamación con arreglo al artículo
77, apartado 1, del RGPD solicitando que se declarara la vulneración del derecho a la supresión y a la limitación de los datos y que se ordenara a la ÖADR y a la NADA que suprimieran la publicación de sus nombres y de los deportes practicados en dichos sitios de Internet. También alegaron que se trataba de una categoría especial de datos personales y de un tratamiento de datos personales relativos a condenas e infracciones penales, en el sentido de los artículos 9 y 10 del RGPD, respectivamente. En su opinión, el régimen indiferenciado de publicación previsto en el Derecho austriaco es incompatible con el artículo 6, apartado 3, del RGPD y no es ni necesario ni proporcionado.
26.      El 26 de noviembre de 2021, la Autoridad Austriaca de Protección de Datos desestimó esta reclamación por infundada. Por lo que respecta a YT en particular, su reclamación fue desestimada por falta de interés en ejercitar la acción, puesto que sus datos aún no habían sido publicados.
27.      Los recurrentes interpusieron entonces ante el Bundesverwaltungsgericht (Tribunal Federal de lo Contencioso-Administrativo, Austria), que es el órgano jurisdiccional remitente, un recurso basado en el artículo
78, apartado 1, del RGPD. En este contexto, la NADA, primera parte recurrida en el litigio principal, adujo que la publicación de datos personales en su sitio de Internet es necesaria para el cumplimiento de una obligación legal a la que está sujeta y para
la realización de una misión en interés público en el sentido del artículo 6, apartado 1, letras c)
y e), del RGPD.
28.      El órgano jurisdiccional remitente suspendió el procedimiento principal debido a que la USK planteó la petición de decisión prejudicial en el asunto NADA y otros. (8) Después de que se declarase la inadmisibilidad de dicha petición mediante sentencia de 7 de mayo de 2024, (9) se reanudó el procedimiento nacional sustanciado ante el órgano jurisdiccional remitente.
29.      En este contexto, el Bundesverwaltungsgericht (Tribunal Federal de lo Contencioso-Administrativo) decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:
«1)      ¿Está comprendido en el ámbito de aplicación del Derecho de la Unión a los efectos del artículo 16 TFUE, apartado 2, párrafo primero, el tratamiento de datos de personas consistente en publicar en un cuadro su nombre, el deporte que practican, la infracción cometida contra la normativa antidopaje, la sanción impuesta y el comienzo y fin de la sanción en la parte de libre acceso del sitio de Internet de la [NADA], https://www.nada.at/de/recht/suspendierungen-sperren, así como en comunicados de prensa accesibles para el público en general de […] [la ÖADR] en el sitio de Internet https://www.oeadr.at, de manera que es aplicable a tal tratamiento de datos personales el [RGPD]?
En caso de respuesta afirmativa a la primera cuestión:
2)      ¿La información de que una determinada persona ha cometido una infracción concreta en materia de dopaje y de que, en consecuencia, queda suspendida su participación en competiciones (nacionales o internacionales) constituye un “dato relativo a la salud” en el sentido del artículo 9 del RGPD?
3)      ¿Se opone el RGPD (en particular su artículo 6, apartado 3, párrafo segundo) a una normativa nacional que ordena la publicación del nombre de las personas afectadas por las resoluciones de la ÖADR o de la [USK], de la duración de la suspensión y de los motivos de esta, sin que de los datos publicados puedan extraerse conclusiones sobre la salud de dichas personas? ¿Tiene alguna relevancia a este respecto que, con arreglo a la normativa nacional, solo deba omitirse la publicación de esta información si el interesado es un deportista aficionado, un menor de edad o una persona que, facilitando información u otras indicaciones, haya contribuido significativamente al esclarecimiento de posibles infracciones en materia de dopaje?
4)      ¿Exige el RGPD [en particular a la luz de los principios del artículo 5, apartado 1, letras a)
y c)] que, antes de la publicación, se lleve a cabo una ponderación entre, por un lado, los intereses de la personalidad del interesado que se vean afectados por la publicación y, por otro, el interés general en la información sobre las infracciones en materia de dopaje cometidas por los deportistas?
5)      ¿La información de que una determinada persona ha cometido una infracción concreta en materia de dopaje y de que, en consecuencia, queda suspendida su participación en competiciones (nacionales o internacionales) constituye un tratamiento de datos personales relativos a condenas e infracciones penales en el sentido del artículo 10 del RGPD?
6)      En caso de respuesta afirmativa a la quinta cuestión prejudicial:
¿Deben someterse a control judicial la actividad y las decisiones de una autoridad a la que se ha transferido, con arreglo al artículo 10 del RGPD, la supervisión del tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas?
7)      ¿Es admisible una reclamación formulada con arreglo al artículo 77 del RGPD en relación con una supuesta infracción del artículo 17 del RGPD si, al presentarse la reclamación ante la autoridad de control y al resolver esta, aún no se ha producido tratamiento alguno de los datos personales del interesado, pero sí se produce durante el procedimiento judicial ante el tribunal que conoce del recurso, o deviene posteriormente admisible si, en el momento de su presentación, ya existen indicios concretos de que el responsable va a llevar a cabo de forma inminente o en un futuro próximo un tratamiento de datos personales?»
30.      Han presentado observaciones escritas los recurrentes en el litigio principal, la NADA, la Autoridad Austriaca de Protección de Datos, la Comisión y los Gobiernos austriaco, letón, neerlandés, polaco y finlandés. Los recurrentes en el litigio principal, la NADA, la Comisión y los Gobiernos austriaco, letón y finlandés también presentaron observaciones orales en la vista celebrada públicamente el 13 de mayo de 2025.
Apreciación
31.      Tras examinar la primera cuestión prejudicial, referida a la aplicabilidad del RGPD, analizaré las cuestiones prejudiciales segunda, quinta y sexta, que se refieren a determinados datos concretos, antes de abordar la cuestión relativa al principio de proporcionalidad (cuestiones prejudiciales tercera y cuarta). Por último, examinaré la séptima cuestión prejudicial, de carácter más procesal.
Sobre la primera cuestión prejudicial
32.      Mediante su primera cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si la aplicación de la legislación antidopaje constituye o no una «actividad» comprendida en el «ámbito de aplicación del Derecho de la Unión» en el sentido del artículo
16 TFUE, apartado 2, primera frase.
33.      La importancia de esta respuesta es considerable, ya que, en caso de respuesta negativa, el RGPD no se aplicaría al litigio principal. En efecto, el RGPD, que se adoptó sobre la base del artículo
16 TFUE, excluye de su ámbito de aplicación, mediante su artículo
2, apartado 2, letra a), el tratamiento de datos personales efectuado en el ejercicio de una actividad «no comprendida en el ámbito de aplicación del Derecho de la Unión».
34.      Con carácter preliminar, y aunque el órgano jurisdiccional remitente no la menciona, me gustaría recordar que la excepción contemplada en el artículo 2, apartado 2, letra d), del
RGPD prevé que dicho Reglamento no se aplica al tratamiento de datos personales «por parte de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales […]». Esta excepción se explica por el hecho de que el tratamiento de datos personales con tales fines por parte de las «autoridades competentes» se rige por un acto más específico de la Unión, a saber, la Directiva (UE) 2016/680, (10) adoptada el mismo día que el RGPD. No puede descartarse, en este punto, que el criterio material de esa excepción pueda cumplirse en el presente asunto. En efecto, la cuestión de si el tratamiento de los datos de que se trata en el presente asunto se efectúa para los fines contemplados en el artículo 2, apartado 2, letra d), del RGPD nos remite al objeto de la quinta cuestión prejudicial (relativa al artículo 10 del RGPD), que se refiere al carácter penal o no de las condenas e infracciones que son objeto del tratamiento de datos en cuestión. Sin embargo, no se ha abordado el criterio orgánico de la excepción prevista en el artículo 2, apartado 2, letra d), del RGPD: ¿constituyen la NADA y la ÖADR «autoridades competentes» en el sentido del artículo 3, apartado 7, de la Directiva 2016/680? En caso de respuesta negativa, el RGPD se aplica, lo que constituirá mi hipótesis de trabajo para el resto del análisis. En cambio, en caso de respuesta afirmativa y de que se cumpliera también el criterio material, se plantearía la cuestión de la aplicabilidad de la Directiva 2016/680 en lugar del RGPD, extremo que corresponde comprobar al órgano jurisdiccional remitente.
35.      Hecha esta observación, debo señalar que, en el presente asunto, no se discute que los tratamientos de datos personales en cuestión, efectuados por las autoridades antidopaje austriacas y consistentes en la publicación en Internet de los nombres de los deportistas en cuestión, el deporte que practican, la infracción de la normativa antidopaje cometida, la sanción impuesta y el comienzo y fin de dicha sanción, se corresponden
con los tratamientos
a los que se aplica el RGPD en virtud de su artículo
2, apartado 1, a saber, el tratamiento total o parcialmente automatizado de datos personales. (11)
36.      La cuestión que se plantea de forma más controvertida es si ese tratamiento está comprendido en el ámbito de aplicación de la excepción prevista en el artículo 2, apartado 2, letra a), del RGPD.
37.      En el marco de mi análisis, comenzaré por recordar el principio de interpretación estricta de la excepción del artículo 2, apartado 2, letra a), del RGPD para, seguidamente, extraer las consecuencias para la actividad antidopaje a la luz de las alegaciones formuladas por la NADA.
Sobre la interpretación estricta de la excepción del artículo 2, apartado 2, letra a), del RGPD
38.      Según jurisprudencia reiterada, la excepción prevista en el artículo
2, apartado
2, letra a), del RGPD, en la medida en que hace inaplicable el régimen de protección de datos personales previsto en el RGPD y se aparta así de su objetivo de protección, debe ser objeto de interpretación estricta. (12)
39.      En efecto, tal como se afirma en esencia en los considerandos 6 a 12 del RGPD, la rápida evolución tecnológica, la globalización y la magnitud de la recogida y del intercambio de datos personales requieren un marco sólido y coherente en materia de protección de datos en la Unión, que garantice un elevado nivel de protección de los derechos y libertades de las personas físicas por lo que se refiere al tratamiento de dichos datos, equivalente en todos los Estados miembros, respaldado por una ejecución estricta, a fin de generar la confianza que permita a la economía digital desarrollarse en todo el mercado interior.
40.      Desde esta perspectiva, el ámbito de aplicación material del RGPD, establecido en el artículo
2, es, por lo tanto, necesariamente amplio y las excepciones que prevé están sujetas a interpretación estricta. Así, el Tribunal de Justicia ha declarado que el artículo 2, apartado 2, letra a), del RGPD, interpretado a la luz de su considerando 16, tiene como único objeto excluir del ámbito de aplicación de dicho Reglamento los tratamientos de datos personales efectuados en el marco de una actividad dirigida a preservar la seguridad nacional o una actividad que pueda incluirse en la misma categoría.
41.      Las actividades cuya finalidad es preservar la seguridad nacional abarcan, en particular, las que tienen por objeto proteger las funciones esenciales del Estado y los intereses fundamentales de la sociedad. (13)
42.      En cambio, no son determinadas personas como tales las que están excluidas de la aplicación del RGPD, sino solo algunas de sus actividades. (14) En efecto, el mero hecho de que una actividad sea propia del Estado o de una autoridad pública no basta para que dicha excepción sea automáticamente aplicable a tal actividad. (15) Tampoco es suficiente con que el autor del tratamiento en cuestión tenga como actividad garantizar la seguridad nacional, por cuanto la actividad en cuestión en el marco del tratamiento de que se trate es la única pertinente. (16) Tampoco basta con que, en el marco de una transferencia de datos con fines comerciales desde un Estado miembro a un tercer país, los datos de que se trate puedan ser tratados, en el transcurso de la transferencia o tras ella, por las autoridades del país tercero en cuestión con fines de seguridad pública, defensa y seguridad del Estado. (17)
43.      Pues bien, en el presente asunto, como subraya el Gobierno austríaco, el artículo
1, apartado
1, de la ADBG dispone que, «al influir en la capacidad deportiva, el dopaje es contrario al principio de equidad en la competición deportiva y al verdadero valor intrínseco del deporte (el espíritu deportivo) y presenta además riesgos para la salud».
44.      Por lo tanto, no puede sostenerse que la publicación de datos personales por la NADA y la ÖADR constituya un tratamiento de datos en relación con una actividad, en el presente asunto la lucha contra el dopaje, que guarde relación con la seguridad nacional o que pueda clasificarse en esa categoría con arreglo al artículo 2, apartado 2, letra a), del RGPD.
45.      Procede concluir que la excepción basada en esta disposición del RGPD no es aplicable al tratamiento de datos controvertido en el presente asunto.
46.      Las alegaciones de la NADA, basadas, por una parte, en que la actividad antidopaje es competencia de los Estados miembros y, por otra parte, en la falta de carácter económico de dicha actividad, no invalidan esta apreciación, como me esforzaré en demostrar a continuación.
La actividad «antidopaje» no está excluida del ámbito de aplicación del RGPD…
–       aunque sea competencia de los Estados miembros
47.      En primer lugar, la NADA sostiene que la política antidopaje es un ámbito que, en virtud del reparto de competencias previsto en el Derecho de la Unión, sigue siendo competencia de los Estados miembros, no obstante la competencia de apoyo prevista en el ámbito del deporte en el artículo 165 TFUE.
48.      Sin embargo, el hecho de que el tratamiento de datos personales tenga lugar en el marco de una actividad comprendida en el ámbito de competencia de los Estados miembros no es pertinente en sí mismo para excluir dicho tratamiento del ámbito de aplicación del RGPD sobre la base de su artículo 2, apartado 2, letra a), por cuanto no es una actividad dirigida a preservar la seguridad nacional ni una actividad que pueda incluirse en la misma categoría. (18)
49.      Excluir del ámbito de aplicación del RGPD el tratamiento efectuado en el marco de una actividad por el mero hecho de que dicha actividad sea competencia de los Estados miembros sería, en mi opinión, contrario tanto al texto como al contexto y los objetivos de dicho Reglamento.
50.      En efecto, cuando el texto del artículo 2, apartado 2, letra a), del RGPD alude al concepto de «actividad no comprendida en el ámbito de aplicación del Derecho de la Unión», no remite a una lógica de competencia, sino a una lógica material de definición del ámbito de aplicación por el legislador, en el propio RGPD, cometido que se le encomienda en el artículo 16 TFUE, apartado 2. Esta disposición «constituye y delega» en la Unión una competencia legislativa en materia de protección y libre circulación de datos personales y define a tal efecto un ámbito de aplicación específico. (19) Además, en el concreto contexto de la protección de los datos personales, habida cuenta en particular de la naturaleza autónoma de las problemáticas asociadas a su tratamiento que han precisado una intervención legislativa propia y específica, el concepto de «ámbito de aplicación del Derecho de la Unión» excede de los supuestos de «aplicación del Derecho de la Unión» en el sentido del artículo 51, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»). (20) Por último, «en muchos ámbitos que son competencia de los Estados miembros, el Derecho de la Unión sigue siendo pertinente». (21) Esto es particularmente cierto en el caso del RGPD, cuyo ámbito de aplicación, transversal, es necesariamente amplio habida cuenta de sus objetivos, recordados en el punto 39 de las presentes conclusiones.
51.      Así, aun cuando la actividad «antidopaje» no está regulada por un acto del Derecho de la Unión y corresponde a los Estados miembros, no puede deducirse de ello que el tratamiento efectuado en el marco de dicha actividad antidopaje no esté comprendido en el «ámbito de aplicación del Derecho de la Unión», en el sentido del artículo 2, apartado 2, letra a), del RGPD, tal como lo interpreta el Tribunal de Justicia en el contexto específico del RGPD.
52.      Por lo demás, desde el Tratado de Lisboa, el deporte es una competencia de apoyo de la Unión. (22) Así, el artículo 165 TFUE, apartado 2, establece que «la acción de la Unión se encaminará a […] desarrollar la dimensión europea del deporte, promoviendo la equidad y la apertura en las competiciones deportivas y la cooperación entre los organismos responsables del deporte, y protegiendo la integridad física y moral de los deportistas, especialmente la de los más jóvenes». Estos términos remiten en particular a las políticas en materia antidopaje. Ciertamente, tal competencia de apoyo no confiere a la Unión competencia alguna para legislar en el ámbito del deporte. No obstante, aunque la actividad de la Unión no sea normativa, existe y le permite adoptar actos jurídicos con el fin de apoyar, coordinar o complementar la acción de los Estados miembros, de conformidad con el artículo 6 TFUE. (23) Por lo tanto, el carácter «deportivo» de las normas antidopaje no permite considerar que su aplicación constituya una actividad no comprendida en el ámbito de aplicación del Derecho de la Unión en el sentido del artículo 2, apartado 2, letra a), del RGPD.
–       y a pesar de su «falta» de carácter económico
53.      En segundo lugar, la NADA sostiene que la práctica del deporte solo está comprendida en el ámbito de aplicación del Derecho de la Unión en la medida en que constituya actividad económica. A su criterio, las normas antidopaje controvertidas se basan, por su parte, en consideraciones puramente deportivas, de modo que el tratamiento de los datos de que se trata en el presente asunto no constituye una cuestión encuadrada en la actividad económica y, por lo tanto, no está comprendido en el ámbito de aplicación del Derecho de la Unión.
54.      Esta alegación, basada en la supuesta «disociabilidad» de las normas antidopaje, tampoco me convence.
55.      En efecto, la afirmación según la cual «la práctica del deporte solo está regulada por el Derecho comunitario en la medida en que constituye una actividad económica en el sentido del artículo 2 del Tratado [CE]» nos remite a la sentencia de 12 de diciembre de 1974, Walrave y Koch. (24) Pues bien, con posterioridad a esa fecha, la Unión ha ejercido su competencia en materia de protección de datos sobre la base del artículo 16 TFUE. Así pues, los Estados miembros han pretendido aplicar el Derecho de la Unión en materia de protección de datos personales también en ámbitos no económicos, como demuestran tanto el texto como el contexto y los objetivos del RGPD.
56.      Para empezar, el texto del artículo 2, apartado 2, letra a), del RGPD determina el ámbito de aplicación material de dicho Reglamento al referirse al concepto de «actividad» y no de «actividad económica» comprendida o no en el ámbito de aplicación del Derecho de la Unión.
57.      A continuación, el contexto del RGPD, y en particular sus disposiciones en materia de transferencia de datos personales a terceros países u organizaciones internacionales (capítulo V del RGPD), confirma este enfoque textual. En efecto, si no se cumplen las condiciones para que se produzca una transferencia de este tipo, las excepciones en caso de situaciones específicas, previstas en el artículo 49 del RGPD, pueden autorizar no obstante dicha transferencia. Pues bien, el considerando 112 del RGPD indica expresamente que las excepciones para estas situaciones específicas «deben aplicarse en particular a las transferencias de datos requeridas y necesarias por razones importantes de interés público, por ejemplo en caso de intercambios internacionales de datos […] para reducir y/o eliminar el dopaje en el deporte». Como ha subrayado
el Gobierno finlandés, este considerando indica que el legislador de la Unión no ha estimado que el tratamiento de datos personales en materia de control antidopaje, aunque se refiera a una actividad no económica, quede fuera del ámbito de aplicación de dicho Reglamento.
58.      Por último, el criterio basado en un vínculo de conexión con el Derecho de la Unión por una actividad económica tampoco me parece pertinente a la luz de los objetivos perseguidos por el RGPD. En efecto, tal criterio conduciría a tener que determinar el ámbito de aplicación del RGPD caso por caso, en función de si el tratamiento de los datos en cuestión guarda o no relación con disposiciones específicas del Derecho de la Unión o con las libertades que rigen el mercado interior. Un planteamiento de este tipo, que varía en función de las situaciones concretas de que se trate, podría hacer que los límites del ámbito de aplicación de dicho Reglamento fueran inciertos y aleatorios, (25) lo que iría en contra de sus objetivos esenciales, a saber, garantizar una aplicación coherente y homogénea de las normas de protección en toda la Unión y eliminar los obstáculos a los flujos de datos personales dentro de esta.
59.      Por lo demás, me gustaría añadir que, al menos en el caso de los deportistas profesionales, no puede excluirse la existencia de un vínculo entre la normativa antidopaje y su actividad profesional y, por lo tanto, un vínculo de conexión económica, en particular, con las libertades de circulación y de prestación de servicios. (26) En efecto, las sanciones impuestas pueden conllevar consecuencias económicas no desdeñables debido a su suspensión, en ocasiones a perpetuidad. Si, para determinar el ámbito de aplicación del RGPD, debiera recurrirse a la existencia de tal vínculo de conexión económica, se llegaría al resultado, como mínimo, poco satisfactorio en el que el RGPD podría aplicarse, por ejemplo, a los deportistas profesionales, pero no a los aficionados. (27) Tal diferencia de trato en función de si la actividad se considera económica o no es difícilmente conciliable con el RGPD y sus objetivos de protección en relación con los datos personales.
Conclusión sobre la primera cuestión prejudicial
60.      Habida cuenta de todo lo anterior, propongo al Tribunal de Justicia que responda a la primera cuestión prejudicial que el artículo 16 TFUE, apartado 2, primera frase, y el artículo 2, apartado 2, letra a), del RGPD deben interpretarse en el sentido de que el tratamiento de datos personales consistente, con arreglo a las normas nacionales antidopaje, en la publicación de los nombres de los deportistas afectados, el deporte que practican, la infracción de la normativa antidopaje cometida, la sanción impuesta y el comienzo y fin de dicha sanción no puede considerarse efectuado en el marco de una «actividad no comprendida en el ámbito de aplicación del Derecho de la Unión», en el sentido del artículo 2, apartado 2, letra a), del RGPD.
Sobre la segunda cuestión prejudicial
61.      Mediante su segunda cuestión prejudicial, el órgano jurisdiccional remitente pregunta si la publicación de los datos personales controvertidos se refiere a «datos relativos a la salud» en el sentido del artículo 9 del RGPD.
Sobre la interpretación amplia del concepto de «datos relativos a la salud»
62.      El interés de esta cuestión radica en que el artículo 9 del RGPD prevé un régimen jurídico especialmente protector para las categorías de datos personales denominados «sensibles», entre las que se incluyen los «datos relativos a la salud» (o «datos sanitarios»). Estos datos, que se consideran esenciales para la intimidad de las personas, requieren, como tales, un elevado nivel de protección, a la vez gracias a la protección de la vida privada, al secreto profesional y a la legislación relativa a la protección de los datos personales. (28) Por lo tanto, su tratamiento está prohibido por el artículo 9, apartado 1, del RGPD, a no ser que pueda aplicarse
alguna de las excepciones previstas en el apartado 2 de este artículo. Esto se refleja en el considerando 51 del RGPD, relativo a los datos sensibles, según el cual esta protección específica se explica «ya que el contexto de su tratamiento podría entrañar importantes riesgos para los derechos y las libertades fundamentales». Conforme al considerando 54 del RGPD, el objetivo es evitar, si son objeto de tratamiento por razones de interés público, «que terceros, como empresarios, compañías de seguros o entidades bancarias, traten los datos personales con otros fines». (29) El imperativo de protección de datos se ve reforzado además con la informatización de las estructuras sanitarias y la desmaterialización de los soportes y de los flujos de datos. (30)
63.      Cabe añadir que la prohibición del tratamiento de los datos sanitarios, establecida en el artículo 9, apartado 1, del RGPD, es independiente de que la información revelada por el tratamiento en cuestión sea o no exacta y de que el responsable del tratamiento actúe con el fin de obtener información comprendida en alguna de las categorías especiales contempladas en dicha disposición. (31) Cabe deducir de ello que el objetivo del responsable del tratamiento, y en particular el hecho de que el tratamiento sea necesario en virtud de una obligación legal o de un interés público, si bien constituye un elemento pertinente en el marco de la posible aplicación de alguna de las diez excepciones previstas en el artículo 9, apartado 2, del RGPD, no es un elemento que deba tenerse en cuenta en la fase de la calificación
como «dato sanitario». (32)
64.      Con arreglo al artículo
4, punto
15, del RGPD, en relación con el considerando 35 de dicho Reglamento, estos datos incluyen todos los datos personales relativos a la salud física o mental de una persona física
que revelen (33) información sobre su estado de salud pasado, presente o futuro.
65.      El Tribunal de Justicia ya ha declarado que, habida cuenta del objetivo del RGPD, el concepto de «datos relativos a la salud» que figura en el artículo 9, apartado 1, de dicho Reglamento debe interpretarse de manera amplia. (34) Conforme a la interpretación contextual y teleológica del artículo 4, punto
15, y del artículo 9 del RGPD, para ser calificados como tales, basta con que los datos en cuestión puedan revelar, aunque sea de manera indirecta, mediante un ejercicio intelectual de relación o deducción, información sobre el estado de salud del interesado. (35)
66.      En este contexto, tengo la impresión de que cabe distinguir esquemáticamente entre dos categorías de datos sanitarios.
67.      Por una parte, los datos generados en el ámbito médico me parecen poder considerarse «por su propia naturaleza» (36) datos sanitarios «objetivos», (37) que se refieren, como se expone en el considerando 35 del RGPD, a una información relativa, por ejemplo, a una enfermedad física o mental, una discapacidad, un riesgo de enfermedad, antecedentes médicos o un tratamiento clínico. Por lo general, figuran en el historial médico de la persona en cuestión. (38) De igual modo, los datos que, aunque no sean médicos, se recogen para incluirlos en el historial médico, como es el caso de los datos administrativos destinados a figurar en dicho historial, están contemplados como tales en el considerando 35 del RGPD como «datos sanitarios». En este sentido, se trata de datos considerados relativos a la salud y que revelan información sobre el estado de salud del interesado.
68.      En este ámbito, el concepto de «riesgo de padecer enfermedades», mencionado en el considerando 35 del RGPD, reviste sin duda cierta importancia. Como se desprende de los trabajos del Grupo de Trabajo del artículo 29, se incluyen aquí los datos relativos al posible estado de salud futuro de un interesado. Así pues, se tiene en cuenta el riesgo futuro de enfermedad «científicamente probado o comúnmente percibido» y se citan como ejemplos el consumo excesivo de alcohol o tabaco y el consumo de drogas. (39)
69.      Por otra parte, fuera del contexto médico, un dato puede referirse a la salud, en particular si dicho dato puede, aunque sea indirectamente, revelar información sobre el estado de salud físico o mental, pasado, presente o futuro de una persona física. (40) Es la «zona gris» (41) del concepto de «dato sanitario» la que plantea la cuestión de hasta qué punto su vínculo indirecto con la salud puede llevar a calificarlo como tal. El factor decisivo en este caso es si es posible, a partir de los datos de que se trata, extraer conclusiones sobre el estado de salud del interesado, ya se trate de un estado patológico o fisiológico, independientemente de la fiabilidad de dichas conclusiones. A este respecto, pueden tenerse en cuenta elementos contextuales, (42) al igual que el vínculo entre la información en cuestión y la capacidad de deducir de ella un aspecto de la salud de una persona. (43)
70.      Por ejemplo, el Grupo de Trabajo del artículo 29 ha considerado como dato sanitario la información relativa a la pertenencia de una persona a grupos que persiguen un objetivo relacionado con la salud, como «Weight Watchers» o «Alcohólicos Anónimos». (44) Además, un dato bruto resultante de una «medición personal» (por ejemplo, el peso o la presión arterial registrada por un reloj de pulsera inteligente) que no sea por sí mismo un dato sanitario podría permitir, junto con otra información, extraer conclusiones sobre la salud de la persona de que se trate. El Grupo de Trabajo del artículo
29 precisa a este respecto que debe llevarse a cabo una evaluación caso por caso: una aplicación que registra y almacena el número de pasos dados durante unos días y borra estos datos al cabo de una semana puede no estar tratando «datos sanitarios». Por el contrario, una aplicación que combina varios años de registros cuantificados exhaustivos de una persona (seguidos, por ejemplo, de hábitos de sueño y de ejercicio, registros detallados de alimentación, del peso, del índice de masa corporal, de la presión arterial y de otras estadísticas vitales, así como un diario del estado de ánimo) se considera que trata datos sanitarios. En tal caso, no solo se considerarán datos sanitarios las conclusiones y las deducciones, sino también los datos brutos. (45)
Aplicación en el presente asunto
71.      En el litigio principal, la normativa controvertida prevé que, además de indicar el nombre de los deportistas afectados y la duración de su suspensión, se divulguen los motivos de dicha suspensión mediante remisión a la categoría de infracción o infracciones constatadas. Cuando la infracción se refiera a una sustancia o método prohibido, tal dato también se indica en el comunicado publicado en el sitio de Internet de la ÖADR. (46)
72.      Antes de nada, procede recordar que las infracciones de las normas antidopaje que se hacen públicas se dividen en varias categorías. (47)
73.      Considero, al igual que la Autoridad Austriaca de Protección de Datos, que solo las infracciones previstas en las categorías 2.1 y 2.2 deben examinarse a la luz del concepto de «datos sanitarios». En efecto, las demás infracciones se refieren a comportamientos infractores que, como tales, considero que no permiten desvelar, siquiera indirectamente, información sobre el estado de salud del interesado. Por ejemplo, la información de que un deportista ha incumplido su obligación de localización (infracción de categoría 2.4) o ha traficado con sustancias prohibidas (infracción de categoría 2.7) no revela información sobre su estado de salud.
74.      A continuación, procede señalar que la constatación de las infracciones de las categorías 2.1 y 2.2 implica la realización de pruebas antidopaje al deportista en cuestión y el análisis de muestras para detectar las sustancias y métodos prohibidos. He de añadir que estos análisis son realizados por profesionales acreditados (48) y, por lo tanto, en un contexto cuasimédico, o incluso médico. Por lo tanto, la constatación de tales infracciones nos remite al concepto de «información obtenida de pruebas o exámenes de una parte del cuerpo o de una sustancia corporal» en el sentido del considerando 35 del RGPD. Por consiguiente, podría considerarse que tal información constituye un dato sanitario por su propia naturaleza.
75.      A este respecto, es cierto que la prueba se realiza con vistas a detectar sustancias dopantes tomadas para mejorar el rendimiento deportivo y el tratamiento consistente en la divulgación de la información de que se trata responde a un objetivo penalizador
del deportista en cuestión y disuasorio. Sin embargo, hay que tener en cuenta que el objetivo perseguido no es pertinente para la calificación de los datos de que se trata. (49)
76.      Del mismo modo, el hecho de que las sustancias dopantes no sean medicamentos no me parece convincente. En efecto, por una parte, el concepto de «datos sanitarios» no incluye únicamente los datos médicos con fines terapéuticos. Además, algunos medicamentos son perjudiciales para la salud si se utilizan de forma indebida. Por otra parte, es cierto que la lucha antidopaje busca promover la equidad y la igualdad de los deportistas, pero también constituye un problema de salud. (50) Pues bien, un número elevado de sustancias o métodos se prohíbe, en particular debido a sus efectos perjudiciales para la salud, aun cuando dicho efecto pueda variar según el producto, la cantidad absorbida o la constitución del afectado. (51)
77.      Por consiguiente, para calificar el dato en cuestión, con independencia de que el objetivo perseguido por el deportista consista en la mejora de su rendimiento, no es posible, en mi opinión, ignorar los efectos de la absorción de una sustancia prohibida sobre la salud de dicho deportista, ya sean presentes o futuros.
78.      Por último, me parece que el hecho de que el nombre de la sustancia prohibida detectada en el organismo sea publicado en línea por la ÖADR permite informar al público sobre los riesgos que su absorción puede entrañar para la salud del deportista en cuestión.
79.      Es cierto que la mera mención del nombre de la sustancia prohibida, presente en el organismo, podría considerarse insuficiente en sí misma para revelar información sobre el estado de salud, aun futuro, del deportista de que se trate. A este respecto, el propio contenido de la información podría considerarse demasiado sucinto, y el vínculo con el estado de salud demasiado indirecto, e incluso demasiado hipotético, para constituir un «dato sanitario» en el sentido del RGPD. No obstante, no puede excluirse que, combinada con otros elementos, esta información permita revelar, aunque sea de manera indirecta, mediante un ejercicio intelectual de relación o deducción, información sobre el estado de salud,
aun futuro, del interesado.
80.      Por lo tanto, considero que la mención del nombre de la sustancia en cuestión (o su categoría) ofrece indicaciones que, aunque no sean muy detalladas, pueden proporcionar información, aunque sea de manera indirecta, sobre el estado de salud del interesado. En el contexto específico del RGPD, tal mención constituye, en determinadas circunstancias que corresponde verificar al órgano jurisdiccional remitente, un «dato relativo a la salud» en el sentido de los artículos 4, punto
15, y 9, apartado 1, del RGPD, leídos conjuntamente con el considerando 35 de dicho Reglamento.
81.      En cambio, considero que no sería así si no se mencionara la sustancia prohibida de que se trate (o su categoría). En efecto, en tal caso, sería imposible, incluso mediante un «ejercicio intelectual de relación o deducción», establecer el vínculo entre la constatación de una infracción debido a la presencia de una sustancia prohibida en el organismo, por una parte, y la información sobre el estado de salud del interesado, por otra. En mi opinión, ese vínculo sería entonces demasiado indirecto para que la información divulgada entrara en la categoría de «datos relativos a la salud» del RGPD.
Conclusión sobre la segunda cuestión prejudicial
82.      Por consiguiente, propongo al Tribunal de Justicia que declare que el artículo 9, apartado 1, del RGPD debe interpretarse en el sentido de que no constituye tratamiento de datos relativos a la salud, en el sentido de dicha disposición, divulgar el nombre del deportista en cuestión, la duración de su suspensión y los motivos de esta, salvo si tales motivos incluyen el nombre de la sustancia o sustancias prohibidas cuya presencia se ha detectado en el organismo del deportista en cuestión, cuando esa indicación pueda revelar, aunque sea indirectamente, información sobre el estado de salud, aun futuro, del deportista en cuestión, extremo que corresponde comprobar al órgano jurisdiccional remitente.
Sobre la quinta cuestión prejudicial
83.      El órgano jurisdiccional remitente pregunta, en esencia, si la publicación controvertida constituye un tratamiento de datos personales relativos a condenas e infracciones penales en el sentido del artículo 10 del RGPD. A este respecto, señala que las sanciones en el litigio principal incluyen la retirada de títulos y premios, así como la suspensión de varios años o la prohibición a perpetuidad de participar en todas las competiciones (nacionales e internacionales). Además, precisa que, en virtud del artículo
24, apartado
4, de la ADBG, las organizaciones deportivas no pueden «recurrir» a personas objeto de una suspensión en virtud de la legislación antidopaje y, por lo tanto, no pueden contratarlas a cambio de remuneración.
84.      Antes de analizar la naturaleza de las condenas e infracciones antidopaje de que se trata, recordaré la trascendencia de una calificación penal en el contexto del artículo 10 del RGPD.
Trascendencia del carácter «penal» de las condenas e infracciones en el sentido del artículo 10 del RGPD
85.      Procede recordar que el legislador de la Unión no prohíbe el tratamiento de datos personales relativos a condenas e infracciones penales, sino que lo somete a un control reforzado, en la medida en que puede tener un impacto significativo en la vida de los interesados, en particular por el daño a la reputación o la discriminación en otros ámbitos. Así pues, dicho tratamiento solo puede tener lugar «bajo el control de las autoridades públicas» o si la legislación que autoriza ese tratamiento de datos establece «garantías adecuadas para los derechos y las libertades de los interesados». (52) El artículo
10 del RGPD únicamente reserva esta protección reforzada al ámbito penal, en el entendimiento de que el término «penal» se refiere a la vez tanto a las «condenas» como a las «infracciones». (53)
86.      Así, puede estar comprendida en el ámbito de aplicación del artículo 10 del RGPD la llevanza de registros de las condenas e infracciones penales por parte de organismos privados, (54) por ejemplo en el marco de la lucha contra el blanqueo de capitales o de las actividades de los laboratorios de policía científica. (55) También cabe citar el ejemplo del tratamiento de datos personales por organismos de alquiler de vehículos que identifican y designan un conductor que haya infringido el código de circulación.
87.      En el presente asunto, la cuestión que se plantea es, por lo tanto, si los «antecedentes deportivos» publicados en línea por la NADA y la ÖADR constituye un «registro» de condenas e infracciones penales incluido en el ámbito de aplicación del artículo
10 del RGPD y que, por lo tanto, implica una protección reforzada.
Análisis del carácter «penal» o no, en el sentido del artículo 10 del RGPD, de las condenas e infracciones antidopaje
88.      Según la jurisprudencia del Tribunal de Justicia, el concepto de «infracción penal», decisivo para determinar la aplicabilidad del artículo 10 del RGPD al tratamiento de datos personales, requiere, en toda la Unión, una interpretación autónoma y uniforme, que debe buscarse teniendo en cuenta el objetivo que pretende alcanzar dicha disposición y el contexto en que esta se incluye, sin que sea determinante a este respecto la calificación dada por el Estado miembro de que se trate a esas infracciones, calificación que puede ser diferente de un país a otro.
89.      Así pues, los tres «criterios Engel», adoptados por el Tribunal de Justicia, (56) a saber, la calificación jurídica de la infracción en el Derecho interno, la propia naturaleza de la infracción y la gravedad de la sanción que puede imponerse al interesado, son pertinentes para apreciar el carácter penal de una infracción.
90.      Si bien corresponde al órgano jurisdiccional remitente apreciar, a la luz de estos criterios, si las condenas e infracciones controvertidas en el litigio principal tienen carácter penal en el sentido del artículo 10 del RGPD, el Tribunal de Justicia, al resolver sobre un remisión prejudicial, puede aportar, en todo caso, precisiones destinadas a orientar a dicho órgano jurisdiccional en su interpretación. (57)
91.      Por consiguiente, examinaré las infracciones y condenas de que se trata a la luz de estos tres criterios.
–       Calificación jurídica de la infracción en el Derecho interno
92.      De la petición de decisión prejudicial se desprende que, con arreglo al Derecho austriaco, la ÖADR tramita los procedimientos disciplinarios
para la federación deportiva competente. Del mismo modo, el Gobierno austriaco subrayó en la vista que la normativa antidopaje tiene un carácter sui generis en la medida en que las infracciones antidopaje son infracciones de las normas de las federaciones deportivas de que se trata, que los deportistas se comprometen a respetar, (58) y no infracciones de la ley.
93.      Por lo tanto, la calificación de las infracciones antidopaje en el Derecho nacional no es indicativa de una calificación «penal» en el sentido del artículo 10 del RGPD.
94.      Dicho esto, el alcance de este primer criterio Engel debe relativizarse, puesto que, incluso para infracciones que no se califican de «penales» con arreglo al Derecho nacional, tal carácter puede deducirse, no obstante, de la propia naturaleza de la infracción en cuestión y de la gravedad de las sanciones que puedan imponerse. (59) Esto es particularmente pertinente en materia de normativa antidopaje, puesto que el sistema transnacional establecido impilca la intervención de distintos actores, internacionales y nacionales, (60) y los Estados miembros han integrado el CMA de distintas formas en sus ordenamientos jurídicos respectivos. Por lo tanto, la aplicación de la normativa antidopaje varía necesariamente de un Estado a otro, en función de los diferentes modelos de organización estatal, si bien parece que, en la mayoría de los Estados miembros, las ONAD carecen de competencias penales a este respecto. (61)
95.      Por consiguiente, es necesario examinar los otros dos criterios Engel.
–       Naturaleza de la infracción
96.      Este segundo criterio exige comprobar si la sanción correspondiente a la infracción de que se trata tiene concretamente una finalidad penalizadora, sin que la mera circunstancia de que persiga igualmente una finalidad preventiva pueda privarla de la calificación de «sanción penal». En efecto, es propio de las sanciones penales tener por objeto tanto la penalización como la prevención de conductas ilícitas. En cambio, una medida que se limite a reparar el perjuicio causado por la infracción de que se trate no reviste carácter penal. (62)
97.      De la petición de decisión prejudicial se desprende que existen dos categorías de sanciones para las infracciones antidopaje.
98.      Se trata, por una parte, de la retirada de títulos y premios, que consiste en recuperar las ganancias para reasignarlas a los deportistas que habrían tenido derecho a ellas si el deportista sancionado no hubiera participado en la competición. Tal sanción parece responder a la infracción de la «regla del juego» (la «lex sportiva») y puede considerarse dirigida esencialmente a restablecer el «juego limpio» de las competiciones, (63) aunque ello no le resta en absoluto su carácter punitivo para el deportista de que se trate.
99.      Se trata, por otra parte, de la suspensión de la participación en las competiciones deportivas, que puede ser de algunos meses o de varios años, e incluso, como es el caso de uno de los recurrentes en el litigio principal, llegar a la prohibición a perpetuidad de participar en todas las competiciones. Esta suspensión puede considerarse ciertamente como una voluntad de vetar al deportista infractor con el fin de alejarlo o excluirlo de la comunidad de deportistas y, de este modo, preservar la integridad de dicha comunidad. No obstante, también tiene por objeto sancionar al deportista que ha infringido las normas antidopaje que se había comprometido a respetar, así como disuadir a los demás deportistas de hacer lo mismo.
100. Por lo tanto, el objetivo principal de estas sanciones antidopaje, al menos de la suspensión de las competiciones, no parece ser reparar el daño sufrido por terceros como consecuencia de la infracción, sino sancionar el comportamiento del deportista de que se trate, lo que va en el sentido de una condena penal. (64) A este respecto, la normativa antidopaje, aun cuando no constituye un corpus de Derecho penal, tiene una vocación penalizadora. (65)
101. No obstante, la calificación de «penal» con arreglo a este segundo criterio Engel podría suscitar dudas de dos tipos.
102. Una primera duda se deriva de la constatación de que el Tribunal de Estrasburgo ha tendido a tratar los procedimientos disciplinarios desde la vertiente civil del artículo
6 del CEDH, (66) salvo, por ejemplo, cuando se impone una privación de libertad y la sanción tiene un grado de gravedad suficientemente elevado. (67)
103. En particular, el Tribunal de Estrasburgo considera que el artículo 6 del CEDH es aplicable en su vertiente civil a las «impugnaciones relativas a la retirada del derecho a ejercer una profesión», (68) incluido en el ámbito deportivo. (69)
104. Por lo tanto, el carácter penal de la prohibición de ejercer una profesión está lejos de ser evidente.
105. Sin embargo, me parece que no cabe deducir de ello, ipso facto y de manera absoluta, que una sanción disciplinaria que conlleve la suspensión de las competiciones deportivas no pueda, en ningún caso, encuadrarse en el ámbito penal.
106. En efecto, tal planteamiento resultaría puramente formal.
107. Además, es preciso recordar que las dos vertientes (civil y penal) del artículo 6 del CEDH no se excluyen necesariamente. (70)
108. Por último, debe tenerse en cuenta que el Tribunal de Estrasburgo examina la naturaleza penal o civil de la infracción de que se trate a la luz de las imputaciones formuladas ante él y a efectos de apreciar si las garantías del proceso equitativo previstas en el artículo
6 del CEDH se aplican en su vertiente civil (apartado 1) o penal (apartados 1 a 3).
109. En cambio, en el contexto del artículo
10 del RGPD, se trata de evaluar si la condena o la infracción es penal a efectos de determinar si el tratamiento en cuestión (en este caso, la publicación) se refiere a una información a la que debe concederse una protección reforzada que implique el control de una autoridad pública. A lo anterior se añade que no hay nada que prohíba adoptar una interpretación más amplia que garantice una protección reforzada de los derechos y libertades en cuestión. (71) Por lo tanto, es en este contexto del artículo 10 del RGPD en el que el órgano jurisdiccional remitente debe apreciar si se cumplen o no los criterios Engel y, en particular, el segundo criterio, relativo a la naturaleza de la infracción.
110. Una segunda duda se deriva del hecho de que las infracciones y condenas antidopaje solo afectan a un grupo particular de personas, a saber, los deportistas, al igual que las sanciones disciplinarias
cuyo objetivo general es garantizar el cumplimiento, por parte de sus miembros, de las normas de conducta específicas del grupo en cuestión. (72) Estas disposiciones tienen por objeto proteger el honor y la reputación de la profesión y mantener la confianza del público en dicha profesión. (73)
111. Es cierto que tal constatación permitiría calificar la infracción de «disciplinaria» en el sentido de que se aplica a un determinado número de personas contempladas por un conjunto de normas específicas. En este sentido, el presente asunto se distingue del asunto que dio lugar a la sentencia Latvijas Republikas Saeima, en el que la atribución de puntos por infracciones de tráfico se basaba en un texto de aplicación general. (74)
112. No obstante, no queda excluida la calificación de «infracción penal» en el sentido del artículo 10 del RGPD. En efecto, si el ámbito de aplicación más restringido, propio de las normativas disciplinarias, fuera suficiente para evitar la calificación
de la infracción como «penal», nos retrotraeríamos a un enfoque puramente formal del concepto. Tal enfoque es difícilmente conciliable con la jurisprudencia, que impone a este respecto que se indague en la finalidad penalizadora o preventiva de la sanción para definir la naturaleza de la infracción, en contraposición a un objetivo meramente reparador.
113. Pues bien, en el presente asunto, como ya se ha mencionado, (75) las condenas antidopaje no tienen por objeto reparar los perjuicios eventualmente causados por las infracciones de que se trate (o no únicamente, si se considera el perjuicio causado a la comunidad deportiva), sino que, por el contrario, persiguen una finalidad penalizadora que puede conferirles una calificación de condena «penal» en el sentido de la interpretación de este segundo criterio por la jurisprudencia, con independencia de que el texto aplicable tenga o no carácter general. Asimismo, he de señalar que el propio Tribunal de Arbitraje Deportivo (Suiza), institución internacional que ofrece arbitraje o mediación en el mundo del deporte, reconoce, cuando procede, la naturaleza «cuasipenal» de las sanciones antidopaje. (76)
114. Además, determinadas infracciones de la normativa antidopaje, como el tráfico de sustancias prohibidas, pueden dar lugar a sanciones comprendidas tanto en la normativa antidopaje como en la normativa penal nacional. Es cierto que el Tribunal de Estrasburgo ha entendido que el hecho de que los actos que pueden dar lugar a una sanción disciplinaria también constituyan infracciones penales no basta para considerar que una persona responsable con arreglo al Derecho disciplinario esté «acusada» de una infracción penal. (77) No obstante, me parece que esto podría constituir un elemento que deba tenerse en cuenta en el marco del segundo criterio Engel.
115. Por consiguiente, a pesar de las reservas expresadas, considero, en esta fase, que no cabe excluir que, considerando su carácter penalizador o preventivo, determinadas infracciones antidopaje puedan considerarse de naturaleza penal en el sentido del artículo 10 del RGPD.
–       Grado de gravedad de la sanción
116. Este tercer criterio Engel debe apreciarse a la luz de la pena máxima señalada en las disposiciones pertinentes. (78)
117. Pues bien, este grado de gravedad varía en función de la infracción antidopaje cometida. Por ejemplo, la duración de la suspensión señalada varía en función de las infracciones antidopaje de que se trate. Del mismo modo, la reincidencia y la intención del autor también pueden ser relevantes a este respecto. (79)
118. De la petición de decisión prejudicial resulta que, en el presente asunto, puede tratarse «de una suspensión de varios años o una prohibición a perpetuidad de participar en todas las competiciones (nacionales e internacionales)», lo que puede dar lugar, por lo tanto, a una prohibición definitiva de ejercer la profesión de deportista.
119. Ciertamente, no se trata de una pena privativa de libertad. No obstante, esto no es determinante, puesto que «la escasa relevancia de lo que está en juego no permite privar a una infracción de su carácter penal intrínseco». (80) Además, la carrera de deportista profesional de la persona afectada puede finalizar, según la duración de la suspensión, en particular atendiendo a la edad de las personas afectadas y a la constatación de que la carrera es, en algunos deportes en particular, relativamente corta.
120. A esta suspensión, que puede ser «a perpetuidad», se añade la imposibilidad en la práctica de volver a encontrar un puesto de trabajo en el ámbito deportivo, habida cuenta de la prohibición de asociarse con una persona suspendida durante todo el período de su suspensión.
121. Por último, a las consecuencias económicas y financieras para la persona afectada se añaden la desaprobación de la sociedad y la estigmatización tanto en el ámbito público como en el privado.
122. De ello se desprende, en mi opinión, que tal sanción reviste una gravedad que puede tener un efecto equivalente a una condena penal en el sentido del artículo 10 del RGPD, extremo que, no obstante, corresponde apreciar al órgano jurisdiccional remitente en cada caso concreto.
123. En consecuencia, soy de la opinión de que, en principio, las infracciones y condenas antidopaje deben considerarse comprendidas en el ámbito disciplinario, salvo en los casos en que la condena sea de una gravedad tal que se encuadre en el ámbito penal. Esta apreciación, que no puede cuestionarse por la mera calificación en Derecho interno, se inscribe además en el marco del objetivo penalizador y preventivo de la condena, que confiere carácter penal a la infracción cometida. En este contexto, una suspensión a perpetuidad de participar en cualquier competición podría, por lo tanto, a mi modo de ver, constituir una sanción con un efecto equivalente a una sanción penal, lo que podría dar lugar a la aplicabilidad del artículo 10 del RGPD.
124. Por último, he de añadir que no me convence la alegación de la NADA, que advierte de las implicaciones que tendría, para todos los colegios profesionales, la aplicación del artículo 10 del RGPD al tratamiento de datos relativos a infracciones y condenas disciplinarias. En efecto, no se trata aquí de «dar naturaleza penal» a todas las infracciones y condenas disciplinarias de manera general y abstracta. El análisis anterior ha puesto de manifiesto que la apreciación debe efectuarse en función de las circunstancias de cada caso concreto y con vistas a la interpretación del artículo 10 del RGPD que, en presencia de un «registro» de condenas e infracciones comprendidas en su ámbito de aplicación, impone una protección reforzada. Además, la base jurídica para el tratamiento de los datos relativos a tales infracciones y condenas calificadas de «penales» también puede residir en la legislación de la Unión o de los Estados miembros que prevea las «garantías adecuadas».
Conclusión sobre la quinta cuestión prejudicial
125. Considero que procede responder a la quinta cuestión prejudicial que el artículo
10 del RGPD debe interpretarse en el sentido de que puede aplicarse a los tratamientos de datos personales relativos a condenas o infracciones previstas en la normativa nacional antidopaje cuando, con independencia de la calificación de tales infracciones en el Derecho interno, las condenas que conlleven persigan una finalidad penalizadora y tengan un grado de gravedad tal que produzcan un efecto equivalente a una sanción penal, extremo que corresponde comprobar al órgano jurisdiccional remitente.
Sobre la sexta cuestión prejudicial
126. En caso de respuesta afirmativa a la quinta cuestión prejudicial, el órgano jurisdiccional remitente pregunta si la actividad y las decisiones de una autoridad a la que se ha encomendado, con arreglo al artículo 10 del RGPD, la supervisión del tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas están sujetas a control judicial.
127. En primer lugar, debe precisarse que la autoridad de que se trata es la «autoridad pública» en el sentido del artículo 10 del RGPD, que no debe confundirse con la «autoridad de control», en el sentido del artículo 51 del RGPD. (81) Asimismo, ha de recordarse que el tratamiento de datos personales relativos a condenas e infracciones penales solo puede llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados. (82) Por lo tanto, la respuesta a esta cuestión prejudicial debe ponerse en relación con las respuestas a las cuestiones prejudiciales tercera y cuarta, examinadas más adelante. (83)
128. En segundo lugar, procede señalar que el RGPD no contiene una definición del concepto de «autoridad pública» o de «supervisión de las autoridades públicas» en el sentido del artículo 10 de este Reglamento. A este respecto, corresponde a los Estados miembros determinar qué organismo ejerce la supervisión de las «autoridades públicas» en caso de tratamiento de datos personales en el sentido del artículo 10 del RGPD. Como señala la Comisión, no se puede descartar que varios servicios puedan ser considerados como tales y no se trata necesariamente del «responsable del tratamiento».
129. En tercer lugar, es cierto que el tenor del artículo
10 del RGPD no prevé como tal el control judicial de la actividad y las decisiones de esa «autoridad pública». Dicho esto, la interpretación contextual de dicha disposición aboga en favor de tal control si los interesados pretenden hacer valer sus derechos. En efecto, al igual que varias partes interesadas, considero que el control de los actos en materia de tratamiento de datos personales, incluso cuando dicho control tiene lugar a raíz de una decisión de una autoridad pública en el sentido del artículo 10 del RGPD, debe ser conforme con el artículo
79, apartado 1, del RGPD, aun cuando el órgano jurisdiccional remitente no haga referencia a él en su cuestión prejudicial. En virtud de esta disposición, sin perjuicio de cualquier recurso administrativo o extrajudicial, incluido el derecho a presentar una reclamación ante una autoridad de control con arreglo al artículo 77 de dicho Reglamento, todo interesado tiene derecho a la tutela judicial efectiva si considera que se han vulnerado los derechos que le confiere este Reglamento como consecuencia de un tratamiento de sus datos personales en infracción de este. Por lo demás, como subraya el Gobierno finlandés, la propia existencia de un control judicial efectivo destinado a garantizar el respeto del Derecho de la Unión es inherente al Estado de Derecho.
130. En cuarto lugar, tal interpretación se ve confirmada por el objetivo perseguido por el artículo 10 del RGPD, a saber, garantizar una mayor protección frente a tratamientos que, en atención a la particular sensibilidad de los datos de que se trate, pueden constituir una injerencia especialmente grave en los derechos fundamentales al respeto de la vida privada y a la protección de los datos personales. (84) Una interpretación del artículo 10 del RGPD que excluyese, a priori y de manera general, la actividad o las decisiones de una autoridad pública en el sentido de esta disposición de todo control judicial iría en contra de estos objetivos.
131. En estas circunstancias y a falta de mayor precisión sobre la actividad o las decisiones de la autoridad pública en cuestión, considero que procede responder a la sexta cuestión prejudicial que el artículo
10 del RGPD, a la luz del artículo
79, apartado 1, de este, debe interpretarse en el sentido de que la actividad o las decisiones de una autoridad a la que se ha encomendado, con arreglo a dicha disposición, la supervisión del tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas deben poder someterse a control judicial.
Sobre las cuestiones prejudiciales tercera y cuarta
132. En el marco de estas dos cuestiones prejudiciales, que pueden examinarse conjuntamente, el órgano jurisdiccional remitente pregunta, en esencia, en primer término, si el artículo 5, apartado 1, letras a)
y c), y el artículo 6, apartado 3, párrafo segundo, del RGPD pueden interpretarse en el sentido de que se oponen a una obligación, impuesta por el Derecho nacional a los organismos nacionales antidopaje, de publicar los datos personales de que se trata, a saber, en particular, el nombre de los deportistas sancionados por infracción de la normativa antidopaje, la duración de la suspensión impuesta y sus motivos.
133. En segundo término, pregunta si el RGPD exige, antes de la publicación, una ponderación caso por caso de los intereses en juego por el responsable del tratamiento o si basta con el control de proporcionalidad previsto por el legislador.
Sobre la proporcionalidad de la publicación en cuestión
134. El legislador nacional ha previsto en la ADBG la publicación gratuita de determinados datos (nombre del deportista, duración y motivos de la suspensión) (85) a la atención de la organización deportiva federal, de las organizaciones deportivas, de los deportistas y de otras personas (personal de apoyo), de los organizadores de competiciones y del público en general, sin que sea posible extraer conclusiones de los datos sanitarios. También se dispone que la información que debe publicarse solo puede omitirse para el público en general si la persona en cuestión es un deportista aficionado, especialmente vulnerable (un menor) o una persona que ha contribuido significativamente a la detección de posibles infracciones de las normas antidopaje facilitando información u otras indicaciones. Salvo error por mi parte, en tal caso, la ADBG no prevé expresamente ni la mención de la sustancia prohibida que haya podido usarse ni la publicación en Internet.
135. En la práctica, la NADA y la ÖADR han aplicado dicha legislación mediante una publicación en Internet para los deportistas profesionales y,
en el caso de la ÖADR,
con una mención a la sustancia prohibida que, en su caso, se haya usado.
–       Observaciones preliminares y recordatorio de los principios
136. Es preciso recordar que el objetivo perseguido por el RGPD, como se desprende de su artículo
1 y de sus considerandos 1 y 10, consiste, en particular, en garantizar un elevado nivel de protección de las libertades y de los derechos fundamentales de las personas físicas, en particular de su derecho a la vida privada en lo que respecta al tratamiento de datos personales, consagrado en el artículo 8, apartado 1, de la Carta y en el artículo 16 TFUE, apartado 1, y estrechamente vinculado al derecho al respeto de la vida privada, consagrado en el artículo 7 de la Carta.
137. A este respecto, los derechos fundamentales al respeto de la vida privada y a la protección de los datos personales, garantizados en los artículos 7 y 8 de la Carta, no constituyen prerrogativas absolutas. Así, pueden introducirse limitaciones, siempre que, de conformidad con el artículo 52, apartado 1, de la Carta, sean establecidas por la ley y respeten el contenido esencial de los derechos fundamentales y el principio de proporcionalidad. (86)
138. En el presente asunto, la publicación de los datos personales de los deportistas afectados se lleva a cabo sobre la base de una obligación legal impuesta a los responsables del tratamiento por la ley nacional. (87)
139. En consecuencia, este tratamiento de datos puede considerarse comprendido en el supuesto contemplado en el artículo 6, apartado 1, letra c), del RGPD, que dispone que será lícito el tratamiento necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento. Habida cuenta de que la lucha contra el dopaje podría calificarse de cumplimiento de una misión realizada en interés público, (88) el tratamiento en cuestión también puede estar comprendido en el supuesto contemplado en el artículo
6, apartado 1, letra e), del RGPD. No obstante, no es necesario decidir cuál de esas condiciones de licitud es aplicable en el presente asunto o si se aplican ambas. (89)
140. El artículo
6, apartado
3, del RGPD especifica, con respecto a estos dos supuestos de licitud del tratamiento, contemplados en el artículo 6, apartado 1, letras c) y e), del RGPD, que dicho tratamiento debe basarse en el Derecho de la Unión o en el Derecho de los Estados miembros que se aplique al responsable del tratamiento, y que esta base jurídica debe cumplir un objetivo de interés público y ser proporcional al fin legítimo perseguido.
141. Del mismo modo, todo tratamiento de datos personales debe respetar concretamente los principios enunciados en el artículo
5, apartado
1, del RGPD, y en particular los principios de licitud y de «minimización de datos», que figuran respectivamente en las letras a)
y c) de dicha disposición. Según el principio de minimización, los datos personales deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados, lo que refleja el citado principio de proporcionalidad. (90)
142. Por lo tanto, las cuestiones prejudiciales planteadas por el órgano jurisdiccional remitente implican comprobar si la legislación nacional, como base jurídica del tratamiento controvertido, cumple los requisitos que se derivan de dichas disposiciones, a saber, que responda a un objetivo de interés público y sea proporcional al fin legítimo perseguido.
143. En el presente asunto, en el marco de la lucha contra el dopaje en el deporte, que es sin duda un objetivo de interés público, se adoptan sanciones en caso de infracción de las normas antidopaje. A ello se añade la divulgación al público en general de los datos personales de que se trata, que persigue dos objetivos también legítimos, mencionados por las partes interesadas y por el Gobierno austriaco en la vista. Por una parte, se trata de disuadir a los deportistas de cometer infracciones de las normas antidopaje y, de este modo, prevenir el dopaje en el deporte. Por otra parte, se trata de evitar la elusión de las normas antidopaje informando a todas las personas que pudieran patrocinar o contratar al deportista en cuestión de que está suspendido. (91)
144. Por consiguiente, el órgano jurisdiccional remitente debe comprobar si la normativa nacional que establece el tratamiento en cuestión, tal como la aplican la NADA y la ÖADR, es adecuada para contribuir a la consecución de los objetivos de interés general que persigue y es necesaria y proporcionada en relación con dichos objetivos, siendo competente el Tribunal de Justicia para proporcionarle los elementos de interpretación que puedan resultarle útiles.
–       Sobre la idoneidad de la publicación para alcanzar los objetivos perseguidos
145. Me parece que la publicación de los datos en cuestión puede considerarse, sin demasiada dificultad, adecuada para alcanzar los dos objetivos perseguidos.
146. En primer lugar, en efecto, publicar el nombre del deportista sancionado, así como los motivos y la duración de su suspensión, informa al público en general de que el dopaje no queda impune y de que acarrea no solo de sanciones, sino también una publicación nominativa
de la sanción de suspensión. Ello puede incitar al público, incluidos los deportistas, profesionales o aficionados, a abstenerse de infringir las normas antidopaje y, por lo tanto, responde al objetivo de disuasión y de prevención.
147. En segundo lugar, la publicación de esta suspensión también permite informar a las personas que pudieran desear emplear al deportista de que se trate, por cualquier motivo relacionado con el deporte, de que está suspendido y no debe desempeñar funciones deportivas. Es preciso añadir que asociarse con un deportista suspendido también constituye infracción de la normativa antidopaje. (92) Tal publicación puede, así, contribuir a evitar que estas infracciones se cometan por desconocimiento.
148. En cambio, no veo de qué modo la mención de la sustancia prohibida que, en su caso, se haya usado, que no está expresamente prevista por el Derecho nacional, pero que la ÖADR publica, permite alcanzar los objetivos perseguidos. En efecto, ni el objetivo de disuasión ni el de evitar la elusión de las normas antidopaje requieren detallar hasta ese punto la infracción constatada.
–       Sobre la necesidad de la publicación a la luz de los objetivos perseguidos
149. De conformidad con el considerando 39 del RGPD, comprobar la necesidad del tratamiento en cuestión a la luz de los objetivos perseguidos implica comprobar si no existen medidas alternativas que sean menos atentatorias para los derechos al respeto de la vida privada y de protección de los datos personales, garantizados por los artículos 7 y 8 de la Carta, pero igualmente eficaces para alcanzar el objetivo invocado. (93)
150. En primer lugar, por lo que respecta al objetivo de disuasión, la comunicación al público del nombre de los deportistas afectados no me parece absolutamente necesaria en todos los casos.
151. Es cierto que la disuasión es más eficaz si, en particular en el caso de un deportista famoso, las sanciones van acompañadas de la comunicación de su nombre. Los deportistas de alto nivel que gozan de cierta notoriedad tienen una especial responsabilidad a este respecto, de modo que la divulgación de sus nombres puede ser tanto más pertinente a la luz del objetivo perseguido.
152. Sin embargo, en el caso de los deportistas profesionales no amparados por las excepciones previstas en la ADBG, la legislación nacional prevé la divulgación nominativa automática, con un alcance ilimitado por la publicación en línea, (94) sin tener en cuenta las circunstancias particulares vinculadas a las circunstancias individuales (notoriedad del deportista, nivel de competición, reincidencia, carácter intencional, etc.). A este respecto, opino que, por su carácter general, estas disposiciones nacionales pueden ir más allá de lo que exige la prevención del dopaje mediante la disuasión.
153. En segundo lugar, en lo que atañe al objetivo de impedir que se eluda la prohibición de asociarse con una persona suspendida, implica saber de qué deportista se trata. En consecuencia, se hace necesario divulgar el nombre de la persona suspendida. En este sentido, de la petición de decisión prejudicial resulta que, según el artículo 1, apartado 2, punto 8, de la ADBG, puede constituir infracción antidopaje el hecho de que un deportista tenga contacto con un miembro del personal de apoyo sujeto a una prohibición o a una sanción.
154. Dicho esto, el alcance ilimitado de la publicación, unido al hecho de que se haga en Internet, me parece que va más allá de lo necesario. (95)
155. En efecto, este objetivo de evitar la elusión de las normas parece esencialmente aplicarse en el mundo del deporte (96) y dirigirse a los responsables de que las sanciones se cumplan o a los responsables de los organismos deportivos o de las asociaciones deportivas. Una difusión más restringida de la identidad del deportista en cuestión parecería, en este contexto, alcanzar el objetivo de una manera eficaz y menos lesiva para la protección de los datos personales. Además, la NADA explicó en la vista que, para determinadas categorías de deportistas de menor nivel, la información sobre la suspensión puede hacerse a través de las federaciones.
156. En cuanto a los operadores económicos o los empleadores ajenos al mundo del deporte, es cierto que una publicación más limitada no les permitiría saber que el deportista en cuestión está suspendido y que les está prohibido asociarse con él. No obstante, de reprocharse a tal persona no informada haberse asociado con una persona suspendida (deportista o no), me parece que las normas en materia de carga de la prueba permitirían, en tal caso, comprobar si tal «asociación» era o no consciente e intencional. (97) A la inversa, me parece que publicar en Internet la suspensión junto con el nombre de la persona suspendida de que se trate lleva, a fin de cuentas, a imponer que cualquier persona tenga la responsabilidad de comprobar si la persona con la que contrata o se asocia está o no suspendida. Considero que esta sospecha generalizada, inducida por la publicación en línea de los «antecedentes deportivos», va más allá del objetivo perseguido.
157. He de añadir que la elección de la publicación en línea por la NADA y la ÖADR pudiera vulnerar aún más el derecho a la vida privada, en particular habida cuenta de su alcance urbi et orbi. (98) Así lo considera también el Dictamen del Grupo de Trabajo del artículo 29, que hace hincapié en el riesgo de utilización con otros fines o de tratamientos posteriores de los datos publicados en Internet, más intrusivos. (99)
158. En mi opinión, la publicación nominativa, pero limitada a los organismos pertinentes y a las federaciones deportivas, acompañada, por ejemplo, de una publicación en Internet seudonimizada, permitiría alcanzar los dos objetivos perseguidos de manera menos lesiva para la protección de los datos personales y más conforme con el principio de minimización de datos.
159. He de añadir que no me convence la alegación de la NADA basada en la comparación con la publicación de las sanciones en el marco de otras profesiones, como la abogacía o las profesiones sanitarias. En efecto, como señaló el Gobierno neerlandés a este respecto, la publicación de los nombres de los abogados o médicos suspendidos parece necesaria, puesto que cualquier persona puede ser justiciable o paciente, mientras que, en el contexto del dopaje, basta con que el nombre del deportista de que se trate sea conocido en el ámbito deportivo, por las federaciones deportivas interesadas, salvo en supuestos concretos que deben evaluarse caso por caso.
160. En consecuencia, albergo serias dudas sobre la necesidad del tratamiento en cuestión a la luz de los objetivos perseguidos.
–       Sobre la proporcionalidad stricto sensu, a saber, la ponderación de los intereses en juego
161. Para apreciar la proporcionalidad del tratamiento en cuestión, procede llevar a cabo una ponderación de los diferentes derechos, libertades o intereses en juego. En efecto, no puede perseguirse un objetivo de interés general sin tener en cuenta que debe conciliarse con los derechos fundamentales afectados, lo que implica, en el presente asunto, efectuar una ponderación equilibrada entre, por una parte, el objetivo de interés general perseguido y, por otra parte, los derechos de la persona cuyos datos personales se divulgan. (100)
162. He de añadir que, en el marco de este análisis, procede tener en cuenta las respuestas que el Tribunal de Justicia dé a la segunda cuestión prejudicial, referente a la existencia de datos sanitarios en el sentido del artículo 9 del RGPD, y a la quinta cuestión prejudicial, referente a los datos relativos a condenas o infracciones penales, que se incluyen en el ámbito de aplicación del artículo 10 del RGPD. En efecto, el respeto del principio de «minimización» de datos sensibles en el sentido del artículo 9 del RGPD no se opone a que unos datos de carácter personal se comuniquen al público cuando tal comunicación sea necesaria y proporcionada. (101) Lo mismo sucede cuando los datos en cuestión estén comprendidos en el ámbito de aplicación del artículo 10 del RGPD, siempre que la normativa que autorice dicha comunicación establezca garantías adecuadas para los derechos y libertades de los interesados. (102) Dicho esto, en cuanto a los datos objeto de estas dos disposiciones, los intereses de las personas afectadas revisten una importancia particular en el ejercicio de ponderación de los intereses en juego. (103)
163. En el presente asunto, el tratamiento en cuestión, que incluye la publicación en línea de la identidad del deportista afectado, constituye una injerencia importante en los derechos fundamentales al respeto de la vida privada y a la protección de los datos personales y puede provocar la desaprobación de la sociedad y la estigmatización del interesado. Este es, por lo demás, el efecto consistente en «poner a quien se trate en la picota por medios electrónicos» que aquí se persigue.
164. Así pues, la gravedad de esta injerencia debe ponderarse con la importancia de los objetivos que persigue la publicación.
165. Es preciso señalar que la cuestión planteada por el órgano jurisdiccional remitente se refiere a la publicación contemplada
en la ADBG, tal como la aplican la NADA y la ÖADR, para los deportistas profesionales no amparados por las excepciones establecidas (deportistas aficionados, personas vulnerables y «denunciantes»). La publicación relativa a estos consiste en la publicación nominativa
y a la vez ilimitada en su alcance, dado que se difunde al público en general a través de Internet, ilimitada a veces en su duración en el caso de las suspensiones a perpetuidad (cual es el caso de uno de los recurrentes en el litigio principal), y sistemática y automática, que, con arreglo a la ADBG, no implica una apreciación individual en función de las circunstancias.
166. Con toda la prudencia que siempre requiere esta dimensión del control de proporcionalidad, (104) me inclino por pensar que la combinación de estos diferentes elementos (carácter nominativo, ilimitado, sistemático y automático de la publicación) puede dar lugar, en determinadas circunstancias, a una injerencia en los derechos a la protección de los datos personales de las personas afectadas tal que no cumpla las exigencias de la ponderación equilibrada entre los diferentes intereses en juego.
167. Por ejemplo, en el caso de una sanción de suspensión larga, (105) o incluso a perpetuidad, de un deportista poco conocido cuya vida deportiva profesional ha finalizado hace algún tiempo, cabría considerar que la publicación lícita de sus datos personales resulta, con el tiempo, excesiva a la luz de los fines perseguidos.
168. La NADA sostiene que no debe hacerse ninguna diferenciación en función de la gravedad o el carácter reiterado de las infracciones cometidas, dado que tal aspecto
se tiene en cuenta en la fase de sanción y no tiene incidencia en la publicación, que debe realizarse independientemente de las circunstancias. Este argumento no me convence. En efecto, la publicación responde a objetivos que, si bien se inscriben en el marco de la lucha antidopaje, son específicos e implican una ponderación de los intereses en juego que permita tener en cuenta las exigencias del RGPD, que no se consideran en la fase de la sanción antidopaje.
169. Por consiguiente, soy de la opinión de que una obligación de publicar datos personales como la que resulta de la ADBG y aplican la ÖADR y la NADA
solo es admisible en la medida en que, habida cuenta de los objetivos de disuasión y de evitación de la elusión de las normas antidopaje que se persiguen, sea proporcionada, en particular en cuanto al alcance y a la duración de la publicación, considerando las circunstancias específicas que concurran, extremo que corresponde comprobar al órgano jurisdiccional remitente.
Sobre el momento de la ponderación
170. El órgano jurisdiccional remitente pregunta si el RGPD exige, antes de la publicación, una ponderación caso por caso de los intereses en juego por parte del responsable del tratamiento o si es suficiente con el control de proporcionalidad previsto por el legislador.
171. En el presente asunto, el legislador ha contemplado situaciones predefinidas con independencia de las circunstancias propias de cada caso individual, mencionando los elementos de la publicación y previendo, no obstante, ciertas excepciones. Así, ya ha proporcionado un marco para la publicación y ha realizado una cierta ponderación entre el interés de los deportistas cuyos datos personales se divulgan, por una parte, y los intereses vinculados a la lucha antidopaje, por otra.
172. No obstante, es preciso observar que, como responsables del tratamiento designados por el legislador nacional, los organismos nacionales antidopaje en cuestión (en el presente asunto, la NADA y la ÖADR) siguen, con arreglo al artículo
5, apartado 2, del RGPD, estando a cargo de la aplicación del tratamiento y siendo responsables («accountable») del respeto de los principios de licitud y proporcionalidad de dicho tratamiento, así como del respeto del principio de minimización. Además, deben estar en condiciones de demostrar que se cumple lo dispuesto en el apartado 1 de esta disposición.
173. Asimismo, en virtud de los artículos
24, apartado
1, y 25, apartado
1, del RGPD, deben aplicar medidas técnicas y organizativas apropiadas (como la seudonimización) tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento. Estas medidas, que deben revisarse y actualizarse en caso de que sea necesario, están destinadas a aplicar de manera efectiva los principios relativos a la protección de datos y a acompañar el tratamiento de las garantías necesarias para cumplir los requisitos del RGPD y proteger los derechos del interesado. (106)
174. Además, procede señalar que, en el presente asunto, aunque el legislador ha determinado los fines del tratamiento y, en parte, los medios de dicho tratamiento, son la NADA y la ÖADR las que, como responsables del tratamiento y encargadas de su aplicación, han optado por la publicación en Internet y, en el caso de la ÖADR, también ha optado por publicar el nombre de la sustancia prohibida que, en su caso, se haya usado.
175. En este contexto, me parece que la respuesta a la cuestión planteada está relacionada con el contenido y el grado de precisión de la ley nacional aplicable al responsable del tratamiento. En mi opinión, el hecho de que el legislador nacional haya establecido
el principio de publicación no exime al responsable del tratamiento de su responsabilidad en materia de cumplimiento de los requisitos del RGPD y de protección de los derechos de los interesados. Lo anterior puede suponer para él que, en el marco de la aplicación de la legislación nacional, tenga en cuenta las circunstancias específicas del asunto. (107) Por lo demás, he de observar que, en el presente asunto, debe llevar a cabo esta ponderación caso por caso respecto de la publicación de datos de los deportistas suspendidos que están amparados por las excepciones previstas en la ADBG.
176. Por consiguiente, considero que las disposiciones del RGPD citadas, si bien no lo exigen en todos los casos, pueden implicar que el responsable del tratamiento lleve a cabo una ponderación caso por caso de los intereses en juego al determinar, en particular, los medios del tratamiento, por tanto, incluso antes de la publicación. A este respecto, podrían tenerse en cuenta factores referidos a la naturaleza, al alcance, al contexto y a los fines del tratamiento, así como a los riesgos, cuyo grado de probabilidad y gravedad puede variar, para los derechos y libertades de dichas personas.
177. Ni la alegación según la cual tal margen de apreciación del responsable del tratamiento puede dar lugar a una discriminación entre deportistas que se encuentren en situaciones comparables, ni el riesgo de arbitrariedad, de abuso o incluso de corrupción, mencionados en particular por la Comisión y la NADA, pueden justificar que se prescinda de tal ponderación caso por caso, cuyo objetivo es tratar los datos personales de conformidad con el RGPD. En efecto, esta ponderación puede precisamente evitar la discriminación que podría resultar de aplicar un trato idéntico a situaciones diferentes.
178. De ello se sigue, en mi opinión, que los artículos 5 y 6 del RGPD, a la luz del conjunto de obligaciones y responsabilidades que incumben al responsable del tratamiento, deben interpretarse en el sentido de que no se oponen a una ponderación caso por caso de los intereses en juego por parte del responsable del tratamiento antes de dicho tratamiento de datos, o incluso, en determinadas circunstancias, en el sentido de que exigen tal ponderación si es necesaria para tratar los datos personales de conformidad con el RGPD.
Conclusiones sobre las cuestiones prejudiciales tercera y cuarta
179. Habida cuenta de lo anterior, propongo al Tribunal de Justicia que responda a la tercera cuestión prejudicial que los artículos 5, apartado 1, letras a)
y c), y 6, apartado 3, párrafo segundo, del RGPD deben interpretarse en el sentido de que se oponen a una obligación, impuesta a los organismos nacionales antidopaje, de publicar datos personales, como los nombres de los deportistas sancionados por infracción de la normativa antidopaje, la duración de la suspensión impuesta y sus motivos (en particular el nombre de la sustancia prohibida), cuando, considerando las circunstancias específicas que concurran, la exigencia de proporcionalidad no se cumpla o haya dejado de cumplirse, concretamente en lo referente al alcance y a la duración de la publicación, extremo que corresponde comprobar al órgano jurisdiccional remitente.
180. En cuanto a la cuarta cuestión prejudicial, propongo al Tribunal de Justicia que considere que los artículos
5 y 6 del RGPD, a la luz del conjunto de obligaciones y responsabilidades que incumben al responsable del tratamiento, deben interpretarse en el sentido de que exigen que lleve a cabo, antes del tratamiento de datos, una ponderación caso por caso de los intereses en juego si es necesario para tratar los datos personales de conformidad con el RGPD.
Sobre la séptima cuestión prejudicial
181. Para comprender la séptima cuestión prejudicial, procede recordar el contexto en el que se plantea. La recurrente YT, antes incluso de que sus datos personales se publicaran en los sitios de Internet de la NADA y de la ÖADR, presentó una reclamación ante la Autoridad Austriaca de Protección de Datos basada en el artículo
17 del RGPD, que establece el derecho de supresión. Esta última autoridad desestimó la reclamación de YT porque los datos en cuestión aún no habían sido publicados. La publicación de dichos datos tuvo lugar posteriormente, durante el procedimiento de recurso contra la desestimación de su reclamación acordada por la Autoridad Austriaca de Protección de Datos.
182. Mediante su séptima cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en primer lugar, si una reclamación, presentada con arreglo al artículo 77 del RGPD, relativa a una supuesta vulneración del derecho de supresión (artículo 17 del RGPD) es admisible aunque el tratamiento de datos personales del interesado aún no haya tenido lugar en el momento en que presenta
la reclamación ante la autoridad de control y en el momento en que dicha autoridad adopta una decisión.
183. Se pregunta, en segundo lugar, por la admisibilidad de tal reclamación a posteriori si, en el momento en que se presentó la reclamación, ya existían indicios concretos de que el tratamiento de datos personales por parte del responsable del tratamiento era inminente o tendría lugar en un futuro próximo.
¿Es admisible una reclamación ante la autoridad de control antes del tratamiento de datos?
184. El artículo 77, apartado 1, del RGPD establece que todo interesado tiene derecho a presentar una reclamación ante una autoridad de control «si considera que el tratamiento de datos personales que le conciernen infringe el presente Reglamento».
185. Con arreglo a reiterada jurisprudencia del Tribunal de Justicia, para interpretar esta disposición no solo tendré en cuenta su tenor literal, sino también su contexto y los objetivos perseguidos por la normativa de la que forma parte. (108)
186. En primer lugar, el texto del artículo 77 del RGPD no impone un plazo para presentar una reclamación relativa al tratamiento de datos personales. En los casos en que el tratamiento se haya efectuado y, posteriormente, se impugne, cuanto antes se presente la reclamación, antes podrá llevarse a cabo el control por parte de la autoridad y antes podrá garantizarse la protección del interesado. (109) En cambio, el texto del artículo 77, apartado 1, del RGPD
no contempla el supuesto en el que el tratamiento aún no ha tenido lugar. A este respecto, ha de señalarse que esta disposición emplea el término «infringe» en presente, lo que parece implicar que el tratamiento ya debe haber tenido lugar, pero la posibilidad de un tratamiento futuro no está, como tal, excluida. (110)
187. En segundo lugar, en cuanto a los elementos contextuales, procede mencionar las funciones y los poderes de las autoridades de control. A este respecto, en virtud del artículo 57, apartado 1, letra f), del RGPD, incumbe a cada autoridad de control tratar las reclamaciones presentadas por todo interesado, investigar, en la medida oportuna, el motivo de la reclamación e informar al reclamante sobre el curso y el resultado de la investigación en un plazo razonable. Así, la autoridad de control debe proceder al tratamiento de esas reclamaciones «con toda la diligencia exigible». (111)
188. Además, el artículo 58, apartado 1, del RGPD confiere a cada autoridad de control importantes poderes de investigación para tramitar las reclamaciones presentadas. Cuando una de esas autoridades, al finalizar su investigación, constata una infracción de las disposiciones de dicho Reglamento, está obligada a reaccionar de modo adecuado con el fin de subsanar la insuficiencia constatada. A tal efecto, el artículo 58, apartado 2, del mencionado Reglamento enumera los diferentes poderes correctivos de que dispone la autoridad de control, que cuenta, a este respecto, con un margen de apreciación en lo que atañe a la elección de los medios adecuados y necesarios. (112) Entre los poderes de la autoridad de control establecidos en el artículo 58, apartado 2, letra a), del RGPD, esta puede dirigir una «advertencia» a todo responsable del tratamiento cuando las operaciones de tratamiento «previstas» «puedan» infringir lo dispuesto en el RGPD, lo que se inscribe en un enfoque que cabe calificar de «cautelar» respecto de los derechos del interesado. (113)
189. Todos estos requisitos y poderes de las autoridades de control tienen por objeto reforzar el procedimiento de reclamación con el fin de convertirlo en un mecanismo capaz de proteger de manera eficaz los derechos y los intereses de los interesados, es decir, «un auténtico recurso administrativo». (114)
190. Cabe señalar también, entre los elementos contextuales, que, como subraya la Comisión, el responsable del tratamiento debe cumplir determinadas obligaciones, y en particular informar al interesado antes de proceder al tratamiento. (115)
191. Por lo tanto, me parece que, en el contexto del RGPD, no puede excluirse a priori un enfoque cautelar o preventivo por parte de las autoridades de control en el marco de la tramitación de las reclamaciones.
192. En tercer lugar, esta interpretación se ve confirmada por los objetivos que persigue dicho Reglamento. En efecto, de su considerando 10 resulta, en particular, que su objetivo es garantizar un elevado nivel de protección de las personas físicas en lo que respecta al tratamiento de datos personales dentro de la Unión. El considerando 11 del referido Reglamento establece, además, que la protección efectiva de esos datos requiere que se refuercen los derechos de los interesados.
193. Pues bien, restringir la obligación que incumbe a las autoridades de control de tramitar las reclamaciones, en virtud del artículo 57, apartado 1, letra f), del RGPD, interpretando su artículo 77, apartado 1, en el sentido de que excluye toda posibilidad de presentar una reclamación ante una autoridad de control «en vistas de un tratamiento» podría ser contrario a los objetivos perseguidos por dicho Reglamento, en particular al objetivo de garantizar un elevado nivel de protección de las personas físicas en lo que respecta al tratamiento de datos personales dentro de la Unión.
194. Por lo tanto, estimo, a la luz de todas estas consideraciones, que no cabe descartar que una reclamación presentada al amparo del artículo 77 del RGPD pueda ser admisible a pesar de que el tratamiento de datos personales del interesado aún no haya tenido lugar en el momento de la presentación de su reclamación ante la autoridad de control.
195. No obstante, considero, al igual que la Comisión y el Gobierno austriaco, que la presunta infracción del RGPD debe prestarse a ello y que el tratamiento en cuestión, que en el presente asunto consiste en la publicación de datos personales, no puede tener un carácter meramente hipotético. (116)
196. En el presente asunto, el Tribunal de Justicia conoce de una solicitud, basada en el artículo 17 del RGPD, relativa a una reclamación que tiene por objeto la supresión de los datos en cuestión, y la recurrente en el litigio principal de que se trata (YT) indica a este respecto que la publicación de sus datos era «casi sin dudas inminente».
197. Pues bien, una reclamación que tiene por objeto la supresión de dichos datos (al igual que
una solicitud de rectificación de los datos) presupone, por definición, que haya tenido lugar el tratamiento de que se trate, en el presente asunto la publicación de los datos. En efecto, parece imposible que el responsable del tratamiento pueda acoger una reclamación de este tipo y suprimir los datos si aún no han sido divulgados, a menos que tal reclamación se interprete en el sentido de que en realidad pretende impedir la publicación de dichos datos (117) (y no suprimirlos), extremo que corresponde apreciar al órgano jurisdiccional remitente.
198. He de añadir que tal interpretación no es contraria a los objetivos de garantizar un elevado nivel de protección de los datos personales, puesto que otras disposiciones del RGPD permiten responder a las solicitudes relativas a un tratamiento futuro. En efecto, como indica el Gobierno austriaco, el artículo
79, apartado
1, del RGPD, relativo al derecho a la tutela judicial efectiva, implica la existencia, en el Derecho nacional, de acciones procesales en caso de amenaza de injerencia ilícita inminente en los derechos conferidos por el RGPD. Esto incluye la posibilidad, con arreglo al Derecho austriaco, de ejercer acciones de cesación preventivas antes del inicio del tratamiento, o incluso, si el tratamiento ha comenzado, la posibilidad de solicitar a la autoridad austriaca que controle la limitación de dicho tratamiento sobre la base del artículo 18 del RGPD.
199. Por lo tanto, considero que no cabe descartar que una reclamación presentada con arreglo al artículo
77 del RGPD pueda ser admisible a pesar de que el tratamiento de datos personales del interesado aún no haya tenido lugar en el momento de la presentación de su reclamación ante la autoridad de control, pero tenga un carácter que no sea meramente hipotético. No obstante, en las circunstancias del litigio principal, la reclamación, basada en el derecho de supresión establecido en el artículo 17 del RGPD, no es admisible, puesto que se refiere a un tratamiento (en este caso, la publicación de los datos personales del interesado) que, aun cuando fuera inminente, no se había producido ni en el momento en que dicho interesado presentó su reclamación ante la autoridad de control ni en el momento en que esta última adoptó la decisión.
¿Pasa a ser admisible «a posteriori» la reclamación presentada ante la autoridad de control?
200. Es preciso observar que esta cuestión se refiere a la interpretación del artículo 77 del RGPD, relativo al derecho a presentar una reclamación ante la autoridad de control. Por lo tanto, parece que el órgano jurisdiccional remitente pregunta si una reclamación de este tipo que ha sido declarada inadmisible podría pasar a ser admisible a posteriori ante la autoridad de control si el tratamiento en cuestión (en este caso, la divulgación de los datos) se produce mientras está pendiente ante el órgano jurisdiccional de apelación un recurso contra la decisión de dicha autoridad de control. Me parece que, a este respecto, corresponde al ordenamiento jurídico interno dilucidar la cuestión de si el juez de apelación podría, o incluso debería, en esta situación, remitir la cuestión a la autoridad de control para que la reconsidere a la luz de los nuevos elementos de hecho, si incumbe al interesado volver a presentar una reclamación o si el propio juez de apelación puede pronunciarse sobre la situación que se le plantea
considerando los nuevos elementos de hecho, a saber, en el presente asunto, la publicación de los datos. A este respecto, debe velarse por la efectividad de la protección de los derechos garantizados por el RGPD y la aplicación coherente y homogénea de sus disposiciones.
201. En la medida en que, como indica el Gobierno austriaco, deba entenderse la cuestión prejudicial planteada por el órgano jurisdiccional remitente en el sentido de que se refiere a la admisibilidad de tal reclamación ante el juez que conoce del recurso de apelación, se trata en tal caso de examinar las consecuencias de los efectos anudados a un cambio en los hechos, a saber, el tratamiento consistente en la publicación de datos personales efectuado tras la decisión de la autoridad de control y mientras está pendiente de resolución un recurso judicial, interpuesto sobre la base del artículo
78 del RGPD, contra dicha decisión, en el supuesto de que, en el momento de la reclamación, existieran indicios concretos de que el tratamiento de datos personales por parte del responsable del tratamiento era inminente o tendría lugar en un futuro próximo.
202. Ha de recordarse que el legislador de la Unión ha intervenido, en el marco del RGPD, para ofrecer diferentes vías de recurso a las personas que invocan una infracción de dicho Reglamento, entendiéndose que cada una de estas vías de recurso debe poder ejercerse «sin perjuicio» de las demás. (118)
203. Así, el artículo
78, apartado
1, del RGPD establece que, sin perjuicio de cualquier otro recurso administrativo o extrajudicial, toda persona física o jurídica tendrá derecho a la tutela judicial efectiva contra una decisión jurídicamente vinculante de una autoridad de control que le concierna. De ello se desprende que los tribunales que conozcan de un recurso contra una decisión de una autoridad de control deben disponer de una competencia plena y, en particular, de competencia para examinar todas las cuestiones de hecho y de Derecho relativas al litigio del que conozcan. (119) El control judicial sobre una decisión relativa a una reclamación dictada por una autoridad de control, para ser «efectivo», como exige la citada disposición, es, por lo tanto, pleno. (120) Además, el artículo 79, apartado 1, de este Reglamento garantiza a todo interesado el derecho a la tutela judicial efectiva «sin perjuicio de los recursos administrativos o extrajudiciales disponibles, incluido el derecho a presentar una reclamación ante una autoridad de control en virtud del artículo 77».
204. Es cierto que ya se ha declarado que, mediante la adopción del RGPD, el legislador de la Unión no pretendió proceder a una armonización exhaustiva de las vías de recurso disponibles en caso de infracción de las disposiciones del RGPD, previstas en los artículos 77 a 79 de dicho Reglamento. (121) En particular, el RGPD no contiene disposiciones específicas para el caso en que se presenta una reclamación ante una autoridad de control y se ejercitan acciones judiciales en un mismo Estado miembro en relación con un mismo tratamiento de datos personales.
205. No obstante, aunque el legislador de la Unión no ha pretendido proceder a una armonización exhaustiva a este respecto, no por ello ha querido excluir la posibilidad evocada en la cuestión prejudicial planteada por el órgano jurisdiccional remitente, a saber, declarar la admisibilidad a posteriori de una reclamación presentada en unas circunstancias como las del litigio principal.
206. Por lo tanto, a falta de normativa de la Unión en la materia, cada Estado miembro debe configurar, en virtud del principio de autonomía procesal de los Estados miembros, la regulación de los procedimientos administrativos y judiciales destinados a asegurar un nivel elevado de salvaguarda de los derechos que el Derecho de la Unión confiere a los justiciables. En este contexto, incumbe al juez nacional velar por la efectividad de la protección de los derechos garantizados por el RGPD, la aplicación coherente y homogénea de las disposiciones de este y el derecho a la tutela judicial efectiva consagrado en el artículo 47 de la Carta. (122)
207. Por lo tanto, corresponde al órgano jurisdiccional remitente determinar, sobre la base de las disposiciones procesales nacionales, cómo deben aplicarse en cada caso las vías de recurso previstas por la normativa nacional. A este respecto, debe asegurarse de que la regulación concreta del ejercicio de las vías de recurso no afecte de forma desproporcionada al derecho a la tutela judicial efectiva. Asimismo, debe velar por que se salvaguarde la efectividad de la protección de los derechos garantizados por el RGPD y por que esta regulación respete los principios de efectividad y de equivalencia. (123)
208. Dado que el órgano jurisdiccional remitente no ha proporcionado aclaraciones sobre las posibilidades que ofrece su Derecho nacional, procede considerar, en mi opinión, que el artículo 77, apartado 1, del RGPD, a la luz de su artículo 78, apartado 1, debe interpretarse en el sentido de que no se opone a la admisibilidad de una reclamación que ha sido previamente declarada inadmisible por la autoridad de control, cuando el tratamiento de datos tiene lugar mientras está pendiente ante el juez el recurso judicial relativo a los mismos hechos. Corresponde al ordenamiento jurídico interno regular, respetando los principios de equivalencia y de efectividad, las condiciones de dicha admisibilidad, tanto ante la autoridad de control como ante el juez, de manera que se vele por la efectividad de la protección de los derechos garantizados por el RGPD, la aplicación coherente y homogénea de sus disposiciones y el derecho a la tutela judicial efectiva.
Conclusión sobre la séptima cuestión prejudicial
209. Habida cuenta de todas las consideraciones que anteceden, propongo al Tribunal de Justicia que responda a la séptima cuestión prejudicial que el artículo
77 del RGPD debe interpretarse en el sentido de que una reclamación, presentada sobre la base del artículo 17 de este Reglamento (por supuesta vulneración del derecho de supresión), no es admisible cuando se refiere a un tratamiento de publicación de datos personales del interesado que, aun cuando fuera inminente, no existía ni en el momento en que dicho interesado presentó la reclamación ante la autoridad de control ni en el momento en que esta última adoptó la decisión, sin perjuicio, no obstante, de la posible admisibilidad de una reclamación relativa a un tratamiento de datos personales que no sea meramente hipotético y que se preste a una actuación preventiva o cautelar de la autoridad de control.
210. Además, examinado a la luz del artículo 78, apartado 1, del RGPD, el artículo
77 de este Reglamento no se opone a la admisibilidad de una reclamación que ha sido previamente declarada inadmisible por la autoridad de control, cuando el tratamiento de datos tiene lugar mientras está pendiente ante el juez el recurso judicial relativo a los mismos hechos. Corresponde al ordenamiento jurídico interno regular, respetando los principios de equivalencia y de efectividad, las condiciones de dicha admisibilidad, tanto ante la autoridad de control como ante el juez, de manera que se vele por la efectividad de la protección de los derechos garantizados por el RGPD, la aplicación coherente y homogénea de sus disposiciones y el derecho a la tutela judicial efectiva.
Conclusión
211. Habida cuenta de lo anterior, propongo al Tribunal de Justicia que responda a las cuestiones prejudiciales planteadas por el Bundesverwaltungsgericht (Tribunal Federal de lo Contencioso-Administrativo, Austria) del siguiente modo:
«1)      El artículo 16 TFUE, apartado 2, primera frase, y el artículo 2, apartado 2, letra a), del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE,
deben interpretarse en el sentido de que
el tratamiento de datos personales consistente, con arreglo a las normas nacionales antidopaje, en la publicación de los nombres de los deportistas afectados, el deporte que practican, la infracción de la normativa antidopaje cometida, la sanción impuesta y el comienzo y fin de dicha sanción no puede considerarse efectuado en el marco de una «actividad no comprendida en el ámbito de aplicación del Derecho de la Unión», en el sentido del artículo 2, apartado 2, letra a), del Reglamento 2016/679.
2)      El artículo 9, apartado 1, del Reglamento 2016/679
debe interpretarse en el sentido de que
no constituye tratamiento de datos relativos a la salud, en el sentido de dicha disposición, divulgar el nombre del deportista en cuestión, la duración de su suspensión y los motivos de esta, salvo si tales motivos incluyen el nombre de la sustancia o sustancias prohibidas cuya presencia se ha detectado en el organismo del deportista en cuestión, cuando esa indicación pueda revelar, aunque sea indirectamente, información sobre el estado de salud, aun futuro, del deportista en cuestión, extremo que corresponde comprobar al órgano jurisdiccional remitente.
3)      Los artículos 5, apartado 1, letras a)
y c), y 6, apartado 3, párrafo segundo, del Reglamento 2016/679
deben interpretarse en el sentido de que
se oponen a una obligación, impuesta a los organismos nacionales antidopaje, de publicar datos personales, como los nombres de los deportistas sancionados por infracción de la normativa antidopaje, la duración de la suspensión impuesta y sus motivos (en particular el nombre de la sustancia prohibida), cuando, considerando las circunstancias específicas que concurran, la exigencia de proporcionalidad no se cumpla o haya dejado de cumplirse, concretamente en lo referente al alcance y a la duración de la publicación, extremo que corresponde comprobar al órgano jurisdiccional remitente.
4)      Los artículos
5 y 6 del Reglamento 2016/679, a la luz del
conjunto de obligaciones y responsabilidades que incumben al responsable del tratamiento,
deben interpretarse en el sentido de que
exigen que este lleve a cabo, antes del tratamiento de datos, una ponderación caso por caso de los intereses en juego si es necesario para tratar los datos personales de conformidad con el Reglamento 2016/679.
5)      El artículo 10 del Reglamento 2016/679
debe interpretarse en el sentido de que
puede aplicarse a los tratamientos de datos personales relativos a condenas o infracciones previstas en la normativa nacional antidopaje, cuando, con independencia de la calificación de tales infracciones en el Derecho interno, las condenas que conlleven persigan una finalidad penalizadora y tengan un grado de gravedad tal que produzcan un efecto equivalente a una sanción penal, extremo que corresponde comprobar al órgano jurisdiccional remitente.
6)      El artículo 10 del Reglamento 2016/679, a la luz
del artículo
79, apartado 1, de este,
debe interpretarse en el sentido de que
la actividad o las decisiones de una autoridad a la que se ha encomendado, con arreglo a dicha disposición, la supervisión del tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas deben poder someterse a control judicial.
7)      El artículo 77 del Reglamento 2016/679
debe interpretarse en el sentido de que
–        una reclamación, presentada sobre la base del artículo 17 de este Reglamento (por supuesta vulneración del derecho de supresión), no es admisible cuando se refiere a un tratamiento de publicación de datos personales del interesado que, aun cuando fuera inminente, no existía ni en el momento en que dicho interesado presentó la reclamación ante la autoridad de control ni en el momento en que esta última adoptó la decisión, sin perjuicio, no obstante, de la posible admisibilidad de una reclamación relativa a un tratamiento de datos personales que no sea meramente hipotético y que se preste a una actuación preventiva o cautelar de la autoridad de control;
–        examinado a la luz del artículo 78, apartado 1, del
Reglamento 2016/679, no se opone a la admisibilidad de una reclamación que ha sido previamente declarada inadmisible por la autoridad de control, cuando el tratamiento de datos tiene lugar mientras está pendiente ante el juez el recurso judicial relativo a los mismos hechos. Corresponde al ordenamiento jurídico interno regular, respetando los principios de equivalencia y de efectividad, las condiciones de dicha admisibilidad, tanto ante la autoridad de control como ante el juez, a fin de que se vele por la efectividad de la protección de los derechos garantizados por el Reglamento 2016/679, la aplicación coherente y homogénea de sus disposiciones y el derecho a la tutela judicial efectiva.»
1      Lengua original: francés.
2      Firmada en París el 19 de octubre de 2005 y en vigor desde el 1 de febrero de 2007.
3      Véase, sobre la interacción de los distintos estratos normativos, Rigaux, F., «Les situations juridiques individuelles dans un système de relativité générale: cours général de droit international privé», Recueil des cours de l’Académie de droit international de La Haye, tomo 213, 1989, en particular pp. 67 y 68. Véase, más concretamente sobre la normativa antidopaje, Diakité, A.,
La mise en œuvre du Code mondial antidopage par les États, Bruylant, Bruselas, 2023, puntos 127 y ss.
4      Véanse, por ejemplo, respectivamente, las sentencias de 12 de diciembre de 1974, Walrave y Koch (36/74, EU:C:1974:140), y de 21 de diciembre de 2023, European Superleague Company (C‑333/21, en lo sucesivo, «sentencia European Superleague Company», EU:C:2023:1011).
5      En efecto, el primer asunto NADA fue declarado inadmisible mediante sentencia de 7 de mayo de 2024, NADA y otros (C‑115/22, EU:C:2024:384). Véanse, no obstante, las conclusiones presentadas por la Abogada General Ćapeta en ese asunto (C‑115/22, EU:C:2023:676).
6      Reglamento del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; corrección de errores en DO 2018, L 127, p. 3).
7      Sobre la adopción de un nuevo Código, prevista para 2027 (véase el sitio de Internet de la AMA disponible en: https://www.wada-ama.org/fr/nos-activites/le-code-mondial-antidopage/revision-du-code), véase la Recomendación 1/2025, adoptada el 11 de febrero de 2025 por el Comité Europeo de Protección de Datos (CEPD), publicada en el sitio web del CEPD, disponible en: https://www.edpb.europa.eu/system/files/2025-08/edpb_recommendations_202501_wada_2027_world_anti-doping_code_es.pdf.
8      Asunto C‑115/22 (DO 2022, C 207, pp. 15 y 16).
9      Sentencia NADA y otros (C‑115/22, EU:C:2024:384).
10      Directiva del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (DO 2016, L 119, p. 89).
11      Véase la sentencia de 6 de noviembre de 2003, Lindqvist (C‑101/01, en lo sucesivo, «sentencia Lindqvist», EU:C:2003:596), apartados 25 y 26.
12      Véanse, en este sentido, las sentencias de 22 de junio de 2021, Latvijas Republikas Saeima (Puntos por infracciones de tráfico) (C‑439/19, en lo sucesivo, «sentencia Latvijas Republikas Saeima», EU:C:2021:504), apartado 62 y jurisprudencia citada; de 20 de octubre de 2022, Koalitsia Demokratichna Bulgaria — Obedinenie (C‑306/21, EU:C:2022:813), apartado 35, y de 16 de enero de 2024, Österreichische Datenschutzbehörde (C‑33/22, en lo sucesivo, «sentencia Österreichische Datenschutzbehörde», EU:C:2024:46), apartado 37.
13      Véase la sentencia Latvijas Republikas Saeima (apartados 66 y 67). Véanse, mutatis mutandis, en el contexto de la Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas, denominada «Directiva sobre la privacidad y las comunicaciones electrónicas» (JO 2002, L 201, p. 37), las sentencias de 6 de octubre de 2020, La Quadrature du Net y otros(C‑511/18, C‑512/18 y C‑520/18, EU:C:2020:791), apartado 135, y de 5 de abril de 2022, Commissioner of An Garda Síochána y otros (C‑140/20, EU:C:2022:258), apartado 61, que mencionan las «actividades que puedan desestabilizar gravemente las estructuras constitucionales, políticas, económicas o sociales fundamentales de un país, y, en particular, amenazar directamente a la sociedad, a la población o al propio Estado, tales como las actividades terroristas».
14      Véanse la sentencia Österreichische Datenschutzbehörde, apartado 41, y las conclusiones del Abogado General Szpunar presentadas en dicho asunto (C‑33/22, EU:C:2023:397), punto 84.
15      Véase la sentencia de 9 de julio de 2020, Land Hessen (C‑272/19, EU:C:2020:535): se trataba de las actividades de naturaleza tanto política como administrativa de la Comisión de Peticiones del Parlamento del Hessischer Landtag (Estado federado de Hesse, Alemania), que eran de naturaleza pública y propias de dicho Estado federado, ya que dicha Comisión contribuía indirectamente a la actividad parlamentaria.
16      Véase la sentencia Österreichische Datenschutzbehörde, apartado 51.
17      Véase la sentencia de 16 de julio de 2020, Facebook Ireland y Schrems (C‑311/18, EU:C:2020:559), apartado 88.
18      Véase la sentencia de 30 de abril de 2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 y C‑332/23, EU:C:2025:303), apartado 104.
19      Como
señaló el Abogado General Szpunar en sus conclusiones presentadas en el asunto Österreichische Datenschutzbehörde (C‑33/22, EU:C:2023:397), punto 68.
20      Véanse las conclusiones del Abogado General Szpunar presentadas en los asuntos Latvijas Republikas Saeima (Puntos por infracciones de tráfico) (C‑439/19, EU:C:2020:1054), puntos 50 a 59, y Österreichische Datenschutzbehörde (C‑33/22, EU:C:2023:397), punto 78.
21      Véase Lenaerts, K., «L’encadrement par le droit de l’Union européenne des compétences des États membres», en Chemins d’Europe: mélanges en l’honneur de Jean-Paul Jacqué, Dalloz, París, 2010, p. 424, punto 7. Véanse, asimismo, Cariat, N. y Dermine, P.,  «La détermination de l’applicabilité du droit de l’Union européenne à une situation particulière», en Le droit de l’Union européenne et le juge belge / Het recht van de Europese Unie en de Belgische rechter, Bruylant, Bruselas, 2015, pp. 85 a 114, y Azoulai, L., «La formule des compétences retenues des États membres devant la Cour de justice de l’Union européenne», en Objectifs et compétences dans l’Union européenne, Bruylant, Bruselas, 2012, pp. 341 a 368, en particular p. 343.
22      Véanse, en este sentido, las sentencias European Superleague Company, apartado 99, y de 21 de diciembre de 2023, Royal Antwerp Football Club (C‑680/21, EU:C:2023:1010), apartado 67. Véanse también las conclusiones del Abogado General Emiliou presentadas en el asunto RRC Sports (C‑209/23, EU:C:2025:362), puntos 22 a 28.
23      Véase la sentencia European Superleague Company, apartado 99. Véase, por ejemplo, la Resolución del Consejo y de los representantes de los Gobiernos de los Estados miembros, reunidos en el seno del Consejo, relativa al Plan de Trabajo de la Unión Europea para el Deporte (1 de julio de 2024 — 31 de diciembre de 2027) (DO 2024, C 3527, p. 1).
24      36/74, EU:C:1974:140), apartado 4. Véase también la sentencia de 15 de diciembre de 1995, Bosman (C‑415/93, EU:C:1995:463), apartado 73. Véase una formulación actualizada en la sentencia de 4 de octubre de 2024, FIFA (C‑650/22, EU:C:2024:824), apartado 75 y jurisprudencia citada.
25      Véanse, mutatis mutandis, las sentencias de 20 de mayo de 2003, Österreichischer Rundfunk y otras (C‑465/00, C‑138/01 y C‑139/01, EU:C:2003:294), apartado 42, y Lindqvist, apartados 40 y ss.
26      Véase la sentencia de 18 de julio de 2006, Meca-Medina y Majcen/Comisión (C‑519/04 P, en lo sucesivo, «sentencia Meca-Medina y Majcen/Comisión», EU:C:2006:492), apartado
47. Para los deportistas aficionados, el Derecho de la Unión también puede aplicarse a través de la ciudadanía (véase la sentencia de 13 de junio de 2019, TopFit y Biffi, C‑22/18, EU:C:2019:497).
27      Además, este concepto no tiene necesariamente el mismo contenido en todos los Estados miembros, por lo que, en caso de divergencia de interpretación, el ámbito de aplicación del RGPD dependería del Derecho nacional.
28      Véase, no obstante, sobre las diferencias de naturaleza, de ámbito de aplicación y de regímenes entre el derecho al respeto de la vida privada y la protección de los datos personales, Tambou, O. «Chapitre 1. Droit autonome du droit au respect de la vie privée», en Manuel de droit européen de la protection des données à caractère personnel, Bruylant, Bruselas, 2020 (1.ª ed.), p. 21 y ss. Sobre el artículo
8 del Convenio para la Protección de los Derechos Humanos y de las Libertades Fundamentales, hecho en Roma el 4 de noviembre de 1950 (en lo sucesivo, «CEDH»), véanse, en particular, la sentencia de 5 de octubre de 1994, X/Comisión (C‑404/92 P, EU:C:1994:361), apartado 23, y TEDH, sentencia de 25 de febrero de 1997, Z c. Finlandia (CE:ECHR:1997:0225JUD002200993), § 95.
29      Por ejemplo, se hace referencia aquí al riesgo de discriminación. Así, un estado de salud deteriorado puede dar lugar a una discriminación en el acceso al empleo, a los seguros o al crédito.
30      Aunque no son directamente objeto del presente asunto, los datos relativos a la salud en relación con las aplicaciones y dispositivos conectados pueden contribuir a precisar los contornos del concepto de «datos sanitarios». Por ejemplo, los «datos de bienestar» o «mediciones personales» (relativos a la frecuencia cardíaca, los períodos de sueño, los regímenes alimentarios, los hábitos de consumo contenidos en las tarjetas de supermercado, etc.) plantean dudas sobre si son o no «datos sanitarios». Por ejemplo, el número de pasos diarios no es en sí mismo un dato sanitario, pero puede llegar a serlo si este dato bruto se combina con otros datos y permite que se extraiga una conclusión sobre el estado de salud o el riesgo para la salud de una persona (véase, a este respecto, el anexo titulado «Health data in apps and devices» del escrito del Grupo de Trabajo del artículo 29 a la Comisión, DG Connect sobre mHealth, de 5 de febrero de 2015, p. 2, disponible en: https://ec.europa.eu/justice/article-29/documentation/other-document/files/2015/20150205_letter_art29wp_ec_health_data_after_plenary_annex_en.pdf).
Entre otros muchos ejemplos sobre el Internet de las cosas (Internet of Things o IoT), véase Casarosa, F., y Gennari, F., «Data Sharing in the Internet of Medical Things – Between the Data Act and the EHDS», European Journal of Risk Regulation, Cambridge University Press, Cambridge, 2025, pp. 1 a 23; véase también Yaşar, B., «I can feel your heartbeat:
E-health evidence in criminal investigations», Shaping Utopia through law: How the law does (not) provide an answer to societal challenges, Intersentia, Bruselas, 2023 (1.ª ed.), pp. 43 a 68, en particular p. 57, punto 4.2.1.
31      Véanse las sentencias de 4 de octubre de 2024, Schrems (Comunicación de datos al público en general) (C‑446/21, EU:C:2024:834), apartado 73 y jurisprudencia citada, y Lindenapotheke (C‑21/23, en lo sucesivo, «sentencia Lindenapotheke», EU:C:2024:846), apartado 87.
32      Véase, en este sentido, la sentencia Lindenapotheke, apartado 92. En este caso, serían especialmente pertinentes las excepciones contempladas en el artículo
9, apartado 2, letras g) e i), del RGPD, que prevén que el tratamiento de datos sensibles es posible si es «necesario por razones de un interés público esencial» o «por razones de interés público en el ámbito de la salud pública», a reserva de su proporcionalidad.
33      El artículo
6 del «Convenio modernizado» para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal del Consejo de Europa (denominado «Convenio 108 +»), de 18 de mayo de 2018, también utiliza este término y prevé, en el apartado de categorías especiales de datos, los «datos personales por la información que revelan en relación con […]
[la] salud
[…]».
34      Véanse las sentencias Lindqvist, apartado 50, y Lindenapotheke, apartado 81.
35      Véanse las sentencias de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, en lo sucesivo, «sentencia Vyriausioji tarnybinės etikos komisija», EU:C:2022:601), apartados 123 a 127, y Lindenapotheke, apartado 83. Este enfoque amplio de la definición podría deberse a la voluntad de «contrarrestar los efectos potenciales de las nuevas tecnologías de macrodatos (big data), que podrían obtener gran conocimiento sobre la salud de una persona mediante el tratamiento de datos que meramente revelan alguna cosa sobre su estado de salud» (traducción libre) [véase Verhenneman, G., «Chapter III. — Understanding the Subject of Protection», en The Patient, Data Protection and Changing Healthcare Models, Intersentia, Bruselas, 2021 (1ª ed.), pp. 97 y ss., en particular p. 109].
36      Véase Maisnier-Broché, L., «Fasc. 945: Données de santé à caractère personnel – Régime général», JurisClasseur Communication, 2019.
37      Véase Herveg, J., y Van Gyshesemm, J.-M., «Titre 16 – L’impact du Règlement général sur la protection des données dans le secteur de la santé», en Le règlement général sur la protection des données (RGPD/GDPR), Larcier, Bruselas, 2018 (1.ª ed.), p. 722.
38      Véase, por analogía, el documento de trabajo sobre el tratamiento de datos personales relativos a la salud en los historiales médicos electrónicos (Grupo de Trabajo del artículo
29, de 15 de febrero de 2007, WP 131, punto II.2), disponible en: https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2007/wp131_es.pdf.
39      Véase el anexo titulado «Health data in apps and devices» del escrito del Grupo de Trabajo del artículo 29 a la Comisión, DG Connect sobre mHealth, de 5 de febrero de 2015, p. 2, disponible en
https://ec.europa.eu/justice/article-29/documentation/other-document/files/2015/20150205_letter_art29wp_ec_health_data_after_plenary_annex_en.pdf.
40      Véanse, en particular, las Directrices 03/2020 sobre el tratamiento de datos relativos a la salud con fines de investigación científica en el contexto del brote de COVID‑19, adoptadas por el CEPD el 21 de abril de 2020, punto 3.1, disponibles en: edpb_guidelines_202003_healthdatascientificresearchcovid19_es.pdf.
41      Schäfke-Zell, W., «Revisiting the definition of health data in the age of digitalized health care», International Data Privacy Law, Oxford University Press, Oxford, vol. 12, n.º 1, 2022, pp. 33 a 43.
42      Véanse las conclusiones del Abogado General Szpunar presentadas en el asunto Lindenapotheke (C‑21/23, EU:C:2024:354), punto 47.
43      Véase el anexo titulado «Health data in apps and devices» del escrito del Grupo de Trabajo del artículo 29 a la Comisión, DG Connect sobre mHealth, de 5 de febrero de 2015, p. 2, disponible en: https://ec.europa.eu/justice/article-29/documentation/other-document/files/2015/20150205_letter_art29wp_ec_health_data_after_plenary_annex_en.pdf. Véase también, sobre esta cuestión, Verhenneman, G., «Chapitre III. — Understanding the Subject of Protection», en The Patient, Data Protection and Changing Healthcare Models, Intersentia, Bruselas, 2021 (1.ª ed.), pp. 97 y ss. Cabe señalar que incluso un vínculo incierto puede tenerse en cuenta [véase Mascret, C., «Arrêt “Lindenapotheke”: vers une protection renforcée des données de santé et une ouverture des voies de recours en matière de protection des données (CJUE, 4 octobre 2024, C‑21/23)», Journal de droit européen, 2025/1, pp. 17 a 20].
44      Véase el anexo titulado «Health data in apps and devices» del escrito del Grupo de Trabajo del artículo 29 a la Comisión, DG Connect sobre mHealth, de 5 de febrero de 2015, p. 2, disponible en: https://ec.europa.eu/justice/article-29/documentation/other-document/files/2015/20150205_letter_art29wp_ec_health_data_after_plenary_annex_en.pdf. Véase, también, sobre la distinción entre los hábitos de consumo y la dependencia, Borges, G., «Der Mann mit der Brille und die DSGVO — Der Begriff des Gesundheitsdatums», Rechtswissenschaft, vol. 14, n.º 2, 2023, en particular pp. 172 y 173.
45      Véase, a este respecto, el anexo titulado «Health data in apps and devices» del escrito del Grupo de Trabajo del artículo 29 a la Comisión, DG Connect sobre mHealth, de 5 de febrero de 2015, p. 2 y nota 5, disponible en: https://ec.europa.eu/justice/article-29/documentation/other-document/files/2015/20150205_letter_art29wp_ec_health_data_after_plenary_annex_en.pdf. Del mismo modo, los hábitos de compra en el supermercado no son en sí mismos datos sanitarios, pero pueden llegar a serlo si se combinan y analizan con vistas a hacer seguimientos de
afecciones como
la obesidad o la diabetes.
46      La disposición según la cual la divulgación tiene que realizarse «sin que de los datos publicados puedan extraerse conclusiones sobre la salud de dichas personas» no basta para descartar la pertinencia de la cuestión que aquí se plantea. En efecto, me parece que esta observación se refiere a los casos en los que se concede una autorización de uso con fines terapéuticos (que permiten, con determinadas condiciones, a un deportista aquejado de una afección médica utilizar una sustancia prohibida o un método prohibido, sin que dicha información se haga pública y sin constituir infracción) o a detalles sobre los resultados de las pruebas, que no están en cuestión aquí.
47      La lista de estas categorías de infracciones, numeradas del 2.1 al 2.11, figura en particular en el sitio de Internet de la NADA y en el CMA. En resumen, las infracciones comprendidas en la categoría 2.1 corresponden a la presencia de una sustancia prohibida o de sus metabolitos o marcadores en una muestra proporcionada por un deportista; 2.2 al uso o tentativa de uso por un deportista de una sustancia prohibida o de un método prohibido; 2.3 al hecho de sustraerse a la toma de una muestra, de negarse a someterse o no someterse a la toma de una muestra por parte de un deportista; 2.4 a los incumplimientos de las obligaciones de localización por parte de un deportista; 2.5 a la manipulación o tentativa de manipulación de cualquier elemento del control del dopaje por parte de un deportista o de otra persona; 2.6 a la posesión de una sustancia prohibida o de un método prohibido por parte de un deportista o un miembro del personal de apoyo del deportista; 2.7 al tráfico o intento de tráfico de una sustancia prohibida o de un método prohibido por un deportista u otra persona; 2.8 a la administración o intento de administración por un deportista u otra persona a un deportista en competición o fuera de competición de una sustancia o de un método prohibido; 2.9 a la complicidad o intento de complicidad por parte de un deportista o de otra persona, 2.10 a la asociación prohibida de un deportista o de otra persona y 2.11 a los actos cometidos por un deportista u otra persona para disuadir de la presentación de denuncias a las autoridades o a los actos de represalia por tales denuncias.
48      El artículo
6.1 del CMA prevé la utilización de laboratorios acreditados o autorizados.
49      Véase el punto 63 de las presentes conclusiones.
50      Además del artículo 165 TFUE y numerosos textos internacionales, véanse, TEDH, sentencia de 18 de enero de 2018, Fédération Nationale des Associations et Syndicats de Sportifs (FNASS) y otros c. Francia (CE:ECHR:2018:0118JUD004815111), § 165, y sentencia Meca-Medina y Majcen/Comisión, apartado 43.
51      Véase, a este respecto, el artículo
4.3 del CMA, relativo a los criterios de inclusión de sustancias y métodos en la lista de prohibiciones, que se refieren en particular a las pruebas médicas o científicas que demuestren que «el uso de la sustancia o del método representa un riesgo real o potencial para la salud del deportista». Véanse también, a modo de ejemplo, los efectos sobre la salud de las sustancias prohibidas en la práctica deportiva que se enumeran en el «Vidal», herramienta de información sobre los productos sanitarios cuya base de datos está aprobada por la Haute Autorité de Santé (Francia) (HAS) (Les substances interdites dans la pratique sportive, VIDAL, disponible en: https://www.vidal.fr/sante/sport/sport-medicaments/sport-dopage-substances-interdites/tous-sports.html).
52      Véanse las sentencias Latvijas Republikas Saeima, apartado 100, y de 7 de marzo de 2024, Endemol Shine Finland (C‑740/22, EU:C:2024:216), apartado 49. Véase, por analogía, durante la vigencia del artículo 8, apartado 5, de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO 1995, L 281, p. 31), la sentencia de 24 de septiembre de 2019, GC y otros
(Retirada de enlaces a datos sensibles) (C‑136/17, EU:C:2019:773).
53      Véase la sentencia Latvijas Republikas Saeima, apartados 77 a 79, que siguen, en ese punto, las conclusiones del Abogado General Szpunar presentadas en el asunto Latvijas Republikas Saeima (Puntos por infracciones de tráfico) (C‑439/19, EU:C:2020:1054), puntos 74 a 78.
54      Ha de recordarse que el tratamiento de datos personales con estos fines por las «autoridades competentes» en el sentido de la Directiva 2016/680 está comprendido en el ámbito de aplicación de esta Directiva como lex specialis (véase el punto 34 de las presentes conclusiones) y no del RGPD como lex generalis. No obstante, cuando el tratamiento lo realizan organismos privados (o las autoridades competentes, pero con fines distintos de los establecidos en la Directiva 2016/680), puede aplicarse el RGPD, y en particular su artículo 10.
55      Véase el considerando 19 del RGPD.
56      Criterios así denominados por referencia a la sentencia en la que el Tribunal Europeo de Derechos Humanos los expuso por primera vez: TEDH, sentencia de 8 de junio de 1976, Engel c. Países Bajos (CE:ECHR:1976:0608JUD000510071), § 82. Estos criterios han sido adoptados por el Tribunal de Justicia, en particular en la sentencia de 5 de junio de 2012, Bonda (C‑489/10, EU:C:2012:319), apartados
37 y ss. Véase también la sentencia Latvijas Republikas Saeima (apartados 85 y 87 y jurisprudencia citada).
57      Véanse las sentencias de 20 de marzo de 2018, Menci (C‑524/15, EU:C:2018:197), apartado 27, y de 14 de septiembre de 2023, Volkswagen Group Italia y Volkswagen Aktiengesellschaft (C‑27/22, EU:C:2023:663), apartado 46.
58      Al afiliarse a organizaciones deportivas y participar en eventos y competiciones deportivas, los deportistas profesionales se comprometen (contractualmente o dando su consentimiento) a no participar en prácticas de dopaje.
59      Véase la sentencia Latvijas Republikas Saeima, apartado
88 y jurisprudencia citada.
60      Además de las federaciones deportivas internacionales y nacionales, cabe citar, en particular, los organismos competentes designados a nivel nacional, entre ellos las «organizaciones nacionales antidopaje» (en lo sucesivo, «ONAD»), que son las entidades designadas por cada país como principales autoridades responsables de los programas antidopaje a nivel nacional, enumeradas en el sitio de Internet de la AMA (véase el Programa de las ONAD, disponible en: https://www.wada-ama.org/fr/programme-des-onad).
61      Véase Dirección General de Educación, Juventud, Deporte y Cultura (Comisión Europea), van der Sloot, B., Paun, M., Leenes, R., y otros, Anti-doping & Data Protection: An evaluation of the anti-doping laws and practices in the EU Member States in light of the General Data Protection Regulation, Oficina de Publicaciones de la Unión Europea, 2017, en particular p. 58, disponible en: https://data.europa.eu/doi/10.2766/042641.
62      Véanse las sentencias de 20 de marzo de 2018, Garlsson Real Estate y otros (C‑537/16, EU:C:2018:193), apartado 33; Latvijas Republikas Saeima, apartado 89; de 23 de marzo de 2023, Dual Prod (C‑412/21, EU:C:2023:234), apartado 30; de 4 de mayo de 2023, MV – 98 (C‑97/21, EU:C:2023:371), apartado 42, y de 14 de septiembre de 2023, Vinal (C‑820/21, EU:C:2023:667), apartado 50.
63      Véanse Diakité, A., «Chapitre 2. La mise en œuvre des sanctions applicables aux athlètes à l’épreuve du respect des droits fondamentaux», en La mise en œuvre du Code mondial antidopage par les États, Bruylant, Bruselas, 2023 (1.ª ed.), punto 1145, y Rouiller, C., «Avis de droit sur la compatibilité de l’article 10.2 du Code mondial antidopage avec les principes fondamentaux du droit national suisse», de 25 de octubre de 2005, pp. 20 y ss. (disponible en: https://www.wada-ama.org/sites/default/files/resources/files/Compatibilit %C3 %A9_droit_suisse_Document_entier.pdf).
64      Véase, en este sentido, la jurisprudencia del TEDH, que tiene en cuenta el objetivo (penalizador o reparador) de la sanción impuesta (TEDH, sentencia de 23 de noviembre de 2006, Jussila c. Finlandia, CE:ECHR:2006:1123JUD007305301, § 38).
65      Véase, en este sentido, Diakité, A., «Chapitre 2. La mise en œuvre des sanctions applicables aux athlètes à l’épreuve du respect des droits fondamentaux», en La mise en œuvre du Code mondial antidopage par les États, Bruylant, Bruselas, 2023 (1.ª ed.), pp. 501 y ss., en particular punto 1143.
66      Para una síntesis de la jurisprudencia en la materia, véase TEDH, sentencia de 6 de noviembre de 2018, Ramos Nunes de Carvalho e Sá c. Portugal (CE:ECHR:2018:1106JUD005539113), § 123, y 5 de marzo de 2020, Peleki c. Grecia (CE:ECHR:2020:0305JUD006929112), § 35. Véase también, a este respecto, el dictamen sobre el Código Mundial Antidopaje (proyecto de Código 2021), de 13 de octubre de 2019, del antiguo Presidente del TEDH, Costa, J.‑P., en particular pp. 5 y ss., disponible en: https://www.wada-ama.org/sites/default/files/resources/files/avis_2019_code_mondial_13_octobre.pdf.
67      La infracciones de la disciplina militar de que se trataba en el asunto Engel, que implicaban la adscripción a una unidad disciplinaria durante un período de varios meses, se consideraron comprendidas en la vertiente penal del artículo 6 del CEDH (TEDH, sentencia de 8 de junio de 1976, Engel y otros c. Países Bajos, CE:ECHR:1976:0608JUD000510071, § 85).
68      Respecto de la aplicación del artículo 6 del CEDH en su vertiente civil a los procedimientos disciplinarios sustanciados ante órganos colegiales y en los que el derecho a ejercer una profesión se encuentra directamente en juego, véanse TEDH, sentencias de 22 de julio de 2021, Reczkowicz c. Polonia (CE:ECHR:2021:0722JUD004344719), § 183 a 185 y jurisprudencia citada, que se refiere a jueces y abogados; de 23 de junio de 1981, Le Compte, Van Leuven y De Meyere c. Bélgica (CE:ECHR:1981:0623JUD000687875), § 41 à 51, que se refiere a médicos; de 27 de junio de 1997, Philis c. Grecia (n.º 2) (CE:ECHR:1997:0627JUD001977392), § 45, que se refiere a un ingeniero, y de 5 de marzo de 2020, Peleki c. Grecia (CE:ECHR:2020:0305JUD006929112), § 39, que se refiere a un notario.
69      Véanse TEDH, sentencias de 2 de octubre de 2018, Mutu y Pechstein c. Suiza (CE:ECHR:2018:1002JUD004057510); de 3 de septiembre de 2019, Bakker c. Suiza (CE:ECHR:2019:0903DEC000719807); de 28 de enero de 2020, Ali Rıza y otros c. Turquía (CE:ECHR:2020:0128JUD003022610), § 153 a 161; de 18 de mayo de 2021, Sedat Doğan c. Turquía (CE:ECHR:2021:0518JUD004890914), § 20, y de 18 de mayo de 2021, Naki y AMED Sportif Faaliyetler Kulübü Derneği c. Turquía (CE:ECHR:2021:0518JUD004892416), § 20. Véase también la recentísima sentencia del TEDH de 10 de julio de 2025, Semenya c. Suiza, (CE:ECHR:2025:0710JUD001093421), en particular § 161.
70      Véanse TEDH, sentencias de 10 de febrero de 1983, Albert y Le Compte c. Bélgica (CE:ECHR:1983:0210JUD000729975), § 30 y jurisprudencia citada; de 6 de noviembre de 2018, Ramos Nunes de Carvalho e Sá c. Portugal (CE:ECHR:2018:1106JUD005539113), § 121, y de 1 de junio de 2023, Grosam c. República Checa (CE:ECHR:2023:0601JUD001975013), § 112.
71      Véase TEDH, sentencia de 22 de diciembre de 2020, Gestur Jónsson y Ragnar Halldór Hall c. Islandia (CE:ECHR:2020:1222JUD006827314), § 93.
72      A la inversa, el hecho de que una norma que sanciona una infracción determinada se dirija a todos los ciudadanos aboga a favor del carácter penal de la sanción (véase TEDH, sentencia de 21 de febrero de 1984, Öztürk c. Alemania, CE:ECHR:1984:0221JUD000854479, § 53).
73      Véase TEDH, sentencia de 6 de noviembre de 2018, Ramos Nunes de Carvalho e Sá c. Portugal (CE:ECHR:2018:1106JUD005539113), § 125.
74      También se distingue de los hechos del asunto que dio lugar a la sentencia de 20 de marzo de 2018, Garlsson Real Estate y otros (C‑537/16, EU:C:2018:193), en el que la multa administrativa pecuniaria por conducta ilícita de manipulación del mercado se basaba en un texto legislativo de alcance general.
75      Véase el punto 100 de las presentes conclusiones.
76      Tribunal de Arbitraje Deportivo, 9 de agosto de 1999, n.º 98/222, B. c. International Triathlon Union (ITU), apartado 43, disponible en: https://jurisprudence.tas-cas.org/Shared %20Documents/222.pdf. Véase también, en este sentido, Soek, J., The strict liability principle and the human rights of the athlets in doping cases, T.M.C. Asser Press, La Haya, 2006, en particular p. 272, según el cual, aunque el derecho disciplinario antidopaje aplicado por las federaciones y organizaciones deportivas no sea en sí mismo Derecho penal, en algunos casos puede calificarse de «sistema punitivo» en cuyo marco
resultan de aplicación los principios del Derecho penal.
77      Véase TEDH, sentencia de 5 de marzo de 2020, Peleki c. Grecia (CE:ECHR:2020:0305JUD006929112), § 36 y jurisprudencia citada.
78      Véanse la sentencia de 4 de mayo de 2023, MV — 98 (C‑97/21, EU:C:2023:371), apartado 46, y TEDH, sentencia de 9 de octubre de 2003, Ezeh y Connors c. Reino Unido (CE:ECHR:2003:1009JUD003966598), § 120.
79      Sobre el régimen de sanciones, véase el artículo 10 del
CMA. Véase también Soek, J., The strict liability principle and the human rights of the athlets in doping cases, T.M.C. Asser Press, La Haya, 2006, en particular pp. 195 y ss.
80      Véase TEDH, sentencia de 22 de diciembre de 2020, Gestur Jónsson y Ragnar Halldór Hall c. Islandia (CE:ECHR:2020:1222JUD006827314), § 78, que se refiere a unas faltas cometidas por profesionales del Derecho durante una vista.
81      En este caso, la autoridad de control en el sentido de esta disposición es la Autoridad Austriaca de Protección de Datos.
82      Para un caso en el que se plantea la cuestión de si el Derecho nacional en materia de requisitos de acceso a los registros de antecedentes penales ofrece o no garantías suficientes, véanse el asunto Comisión/Hungría (Valores de la Unión) (C‑769/22, 2023/C‑54/19) (DO 2023, C 54, p. 16), pendiente en el momento de redactar las presentes conclusiones, y las conclusiones de la Abogada General Ćapeta presentadas el 5 de junio de 2025 en dicho asunto (EU:C:2025:408), en particular puntos 356 a 359.
83      Véanse los puntos 132 a 180 de las presentes conclusiones.
84      Véase la sentencia Latvijas Republikas Saeima, apartados 74 y 75.
85      Véase el artículo 5, apartado 6, punto 4, de la ADBG.
86      Véase la sentencia Vyriausioji tarnybinės etikos komisija, apartado 70 y jurisprudencia citada.
87      La NADA y la ÖADR están obligadas a publicar la información en cuestión de conformidad, respectivamente, con el artículo
5, apartado
6, punto
4, y con el artículo
21, apartado
3, de la ADBG.
88      Este punto no se discute en el presente asunto, y la existencia de una misión realizada en interés público me parece fuera de toda duda considerando el interés general perseguido por las normativas antidopaje (véase la sentencia Meca-Medina y Majcen/Comisión, apartado 43).
89      Una misma operación de tratamiento puede responder a varios motivos legítimos de tratamiento [véase las sentencias de 3 de abril de 2025, Ministerstvo zdravotnictví (Datos relativos al representante de una persona jurídica), C‑710/23, EU:C:2025:231, apartado 42] y basta con uno solo de esos motivos legítimos (véanse las sentencias Vyriausioji tarnybinės etikos komisija, apartado 71, y de 12 de septiembre de 2024, HTB Neunte Immobilien Portfolio y Ökorenta Neue Energien Ökostabil IV, C‑17/22 y C‑18/22, EU:C:2024:738, apartado 38).
90      Véase la sentencia Latvijas Republikas Saeima, apartado
98 y jurisprudencia citada.
91      Además, estos dos objetivos corresponden a los mencionados por la AMA en el marco de sus intercambios con el Grupo de Trabajo del artículo 29, que fueron recogidos en el Segundo Dictamen 4/2009, adoptado el 6 de febrero de 2009, sobre la norma internacional para la protección de la intimidad y los datos personales de la Agencia Mundial Antidopaje (AMA), sobre disposiciones relacionadas del Código AMA y sobre otros aspectos relacionados con la intimidad en el contexto de la lucha contra el dopaje en el deporte por parte de la AMA y de las organizaciones (nacionales) antidopaje (punto 3.6, sobre las sanciones) (en lo sucesivo, «Dictamen 4/2009»).
92      Según el artículo 1, apartado 2, punto 8, de la ADBG, puede constituir infracción antidopaje el hecho de que un deportista tenga contacto con un miembro del personal de apoyo sujeto a una prohibición o a una sanción.
93      Véase, en este sentido, la sentencia Latvijas Republikas Saeima, apartados 109 y 110.
94      Véase, a este respecto, la sentencia de 22 de noviembre de 2022, Luxembourg Business Registers (C‑37/20 y C‑601/20, EU:C:2022:912), apartado 42.
95      Véanse también, a este respecto, las reservas del Grupo de Trabajo del artículo
29 formuladas en el Dictamen 4/2009 en el punto 3.6.1. También es interesante señalar que, si bien el artículo
14.2.4 del CMA preveía, en su versión de 2009, que la publicación debía realizarse al menos mediante la presentación de la información requerida en el sitio web de la organización antidopaje durante al menos un año, esta exigencia de publicación en Internet desapareció en las versiones posteriores del CMA. Ha de añadirse que, en Alemania, la organización antidopaje efectúa la publicación en un medio impreso interno (véase el sitio de Internet de la NADA Germany, disponible en: https://www.nada.de/service/news/newsdetail/veroeffentlichung-von-sanktionsentscheidungen).
96      Según el artículo 2.10 del CMA y el comentario que lo acompaña en la nota 15, parece que el objetivo principal es garantizar que los deportistas (y demás personas) no trabajen con «preparadores, entrenadores, médicos u otro personal de apoyo a los deportistas que se encuentren inhabilitados con motivo de una infracción de las normas antidopaje o que hayan sido condenados penalmente o sometidos a medidas disciplinarias profesionales en relación con el dopaje. Ello incluye colaborar con cualquier otro deportista que actúe como entrenador o persona de apoyo mientras se encuentren en periodo de inhabilitación».
97      Por otra parte, es preciso señalar que, con arreglo al CMA, para demostrar el incumplimiento de la prohibición de asociación con una persona suspendida, es la organización antidopaje la que debe demostrar que el deportista u otra persona conocía el estado de descalificación del miembro del personal de apoyo del deportista (artículo
2.10.2 del CMA).
98      Véase la sentencia Vyriausioji tarnybinės etikos komisija, apartado 102, que tiene en cuenta que la divulgación pública en línea conduce a que los datos personales en cuestión sean libremente accesibles en Internet para el conjunto del público en general y, como resultado, para un número de personas potencialmente ilimitado. El Tribunal de Estrasburgo también tiene en cuenta el tipo de soporte empleado para la divulgación de datos personales, y la difusión a través de Internet se ha considerado particularmente arriesgada a este respecto [TEDH, sentencia de 9 de marzo de 2023, L.B. c. Hungría (CE:ECHR:2023:0309JUD003634516, §
121)].
99      Véase el Dictamen 4/2009 (puntos 3.6.1 y 3.6.2, sobre las sanciones).
100      Véase, en este sentido, la sentencia Vyriausioji tarnybinės etikos komisija, apartado 98 y jurisprudencia citada.
101      Véase el artículo 9, apartado 2, letra g), del RGPD.
102      Véanse las sentencias de 24 de septiembre de 2019, GC y otros
(Retirada de enlaces a datos sensibles) (C‑136/17, EU:C:2019:773), apartado 73, y Latvijas Republikas Saeima, apartado 104.
103      El control de proporcionalidad se efectúa teniendo en cuenta, en particular, el hecho de que el dato se considere sensible (véanse las sentencias de 11 de diciembre de 2019, Asociaţia de Proprietari bloc M5A-ScaraA, C‑708/18, EU:C:2019:1064, apartado 57, y Vyriausioji tarnybinės etikos komisija, apartado 99).
104      Véanse las conclusiones del Abogado General Cruz Villalón presentadas en los asuntos acumulados Digital Rights Ireland y otros (C‑293/12 y C‑594/12, EU:C:2013:845), punto 149, que se refieren, en otro contexto jurídico, a la proporcionalidad de la duración de conservación de datos.
105      Véase, a este respecto, Dellaux, J., «La réglementation de la lutte contre le dopage à l’aune de la jurisprudence de la Cour européenne des droits de l’homme, ou quand la pratique sportive justifie des restrictions importantes au droit au respect de la vie privée», Revue trimestrielle des droits de l’homme, Anthémis, n.º 116, 2018, en particular pp. 899 y 900.
106      Véase Delforges, A., «Titre 8 - Les obligations générales du responsable du traitement et la place du sous-traitant», en Le règlement général sur la protection des données (RGPD/GDPR), Larcier, Bruselas, 2018 (1.ª ed.), pp. 371 a 406.
107      Véase, a este respecto, el Dictamen 4/2009 (punto 3.6, sobre las sanciones), que preconiza, por ejemplo, que se tengan cuenta en particular la gravedad de la infracción antidopaje, el número de infracciones constatadas, el nivel en el que compite el deportista y la posible cobertura mediática del asunto.
108      Véanse las sentencias de 12 de enero de 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, en lo sucesivo, «sentencia Nemzeti Adatvédelmi és Információszabadság Hatóság», EU:C:2023:2), apartado 32, y de 9 de enero de 2025, Österreichische Datenschutzbehörde (Solicitudes excesivas) (C‑416/23, EU:C:2025:3), apartado 24.
109      Véase, en este sentido, Spiecker Gen Döhmann, I., y otros, General Data Protection Regulation: Article-by-Article Commentary, Nomos — Beck — Hart, 2023, en particular pp. 1010 a 1017.
110      Es cierto que, como subrayan los Gobiernos austriaco y finlandés, el apartado
47 de la sentencia Lindenapotheke señala que «el capítulo VIII del RGPD regula, en particular, las vías de recurso que permiten proteger los derechos del interesado cuando los datos personales que le conciernen han sido objeto de un tratamiento supuestamente contrario a las disposiciones de dicho Reglamento» (el subrayado es mío). Dicho esto, los términos «en particular» me llevan a relativizar este argumento, sobre todo porque, en dicho asunto, no se discutía la cuestión de un tratamiento que aún no hubiera tenido lugar.
111      Véase la sentencia de 7 de diciembre de 2023, SCHUFA Holding (Exoneración del pasivo insatisfecho) (C‑26/22 y C‑64/22, en lo sucesivo, «sentencia SCHUFA Holding», EU:C:2023:958), apartado 56 y jurisprudencia citada.
112      Véase la sentencia SCHUFA Holding, apartado 68 y jurisprudencia citada.
113      Véase asimismo la sentencia de 4 de septiembre de 2025, Quirin Privatbank, (C‑655/23, EU:C:2025:655), apartados 43 a 50, a propósito de la posibilidad de impedir la reiteración de un tratamiento ilícito de datos personales. Véase también la petición de decisión prejudicial planteada por el Oberlandsgericht Wien (Tribunal Superior Regional de Viena, Austria) en el asunto CRIF (C‑40/25), pendiente de resolución en el momento de redactar las presentes conclusiones, que versa sobre la posibilidad de exigir al responsable del tratamiento que se abstenga de toda nueva transmisión ilícita de datos personales.
114      Véanse las sentencias SCHUFA Holding, apartado 58, y de 26 de septiembre de 2024, Land Hessen (Obligación de actuar de la autoridad de protección de datos) (C‑768/21, EU:C:2024:785), apartado 35. Véanse también las conclusiones del Abogado General Pikamäe presentadas en los asuntos acumulados SCHUFA Holding (Exoneración del pasivo insatisfecho) (C‑26/22 y C‑64/22, EU:C:2023:222), punto 40.
115      Véase, en el contexto comparable de la Directiva 2016/680, la sentencia de 4 de octubre de 2024, Bezirkshauptmannschaft Landeck (Tentativa de acceso a los datos personales almacenados en un teléfono móvil) (C‑548/21, EU:C:2024:830), apartados 69 a 77, en la que el Tribunal de Justicia declaró que un intento de tratamiento ya es un tratamiento de datos.
116      Véase, en este sentido, la sentencia de 11 de julio de 2024, Meta Platforms Ireland (Acción de representación) (C‑757/22, EU:C:2024:598), apartado 44. Una reclamación relativa a la obligación de información prevista en el artículo
12 del RGPD o al derecho de acceso contemplado en el artículo 15 de este Reglamento sería admisible, por ejemplo, antes del inicio de un tratamiento de datos [véase, en este sentido, la sentencia de 11 de julio de 2024, Meta Platforms Ireland (Acción de representación), C‑757/22, EU:C:2024:598, apartado 45].
117      Es concebible que el reclamante pueda, en tal caso, requerir a la autoridad de control que dirija una advertencia al responsable del tratamiento o le imponga la prohibición de publicar los datos personales invocando, por ejemplo, la ilicitud del tratamiento. En caso de que sea ilícito, el interesado podría oponerse a dicho tratamiento realizado sin motivos legítimos imperiosos sobre la base del artículo 17, apartado 1, letra c), del RGPD. No obstante, no me parece que estos supuestos sean los del presente asunto.
118      Véase la sentencia Nemzeti Adatvédelmi és Információszabadság Hatóság, apartado 34. Véanse asimismo las conclusiones del Abogado General Richard de la Tour presentadas en el asunto D y otros (Articulación de recursos) (C‑414/24, EU:C:2025:656, punto 46, referente a la articulación entre reclamación administrativa y recurso judicial.
119      Véase la sentencia Nemzeti Adatvédelmi és Információszabadság Hatóság, apartado 41.
120      Véase la sentencia SCHUFA Holding, apartado 53.
121      Véanse las sentencias Nemzeti Adatvédelmi és Információszabadság Hatóság, apartado 37, y Lindenapotheke, apartado 60.
122      Véase la sentencia Nemzeti Adatvédelmi és Információszabadság Hatóság, apartados 45 y 57.
123      Véase la sentencia Nemzeti Adatvédelmi és Információszabadság Hatóság, apartados 46, 48 y 51.