Ediție provizorie
CONCLUZIILE AVOCATULUI GENERAL
DOMNUL DEAN SPIELMANN
prezentate la 25 septembrie 2025(1)
Cauza C‑474/24
AR,
YT,
DI,
RN
în prezența:
Österreichische Datenschutzbehörde,
Nationale Anti‑Doping Agentur Austria GmbH (NADA Austria),
Österreichische Anti‑Doping Rechtskommission (ÖADR)
[cerere de decizie preliminară formulată de Bundesverwaltungsgericht (Tribunalul Administrativ Federal, Austria)]
„ Trimitere preliminară – Protecția datelor personale – Regulamentul (UE) 2016/679 – Articolele 2, 5, 6, 9 și 10 – Domeniul de aplicare – Noțiunea de «date privind sănătatea» – Noțiunea de «date cu caracter personal referitoare la condamnări penale și infracțiuni» – Combaterea dopajului în domeniul sportului – Publicarea online a numelui persoanei care a încălcat normele anti‑doping, a duratei excluderii sale de la evenimentele sportive, precum și a motivelor acestei excluderi – Evaluare comparativă a intereselor – Proporționalitate – Articolele 77-79 – Căi de atac – Protecție jurisdicțională efectivă ”
Cuprins
Introducere
Cadrul juridic
Dreptul Uniunii
Dreptul austriac
Litigiul principal, întrebările preliminare și procedura în fața Curții
Analiză
Cu privire la prima întrebare
Cu privire la interpretarea strictă a excepției de la articolul 2 alineatul (2) litera (a) din RGPD
Activitatea „antidoping” nu este exclusă din domeniul de aplicare al RGPD…
–
… chiar dacă ține de competența statelor membre
–
… și în pofida „lipsei” caracterului său economic
Concluzie cu privire la prima întrebare
Cu privire la a doua întrebare
Cu privire la interpretarea largă a noțiunii de „date privind sănătatea”
Aplicarea în speță
Concluzie cu privire la a doua întrebare
Cu privire la a cincea întrebare
Miza naturii „penale” a sancțiunilor și a încălcărilor în sensul articolului 10 din RGPD
Analiza naturii „penale” sau nepenale, în sensul articolului 10 din RGPD, a sancțiunilor și a încălcărilor reglementării antidoping
–
Calificarea juridică a încălcării în dreptul intern
–
Natura încălcării
–
Gradul de severitate a sancțiunii
Concluzie cu privire la a cincea întrebare
Cu privire la a șasea întrebare
Cu privire la a treia și a patra întrebare
Cu privire la proporționalitatea publicării în cauză
–
Observații introductive și amintirea principiilor
–
Cu privire la capacitatea publicării de a atinge obiectivele urmărite
–
Cu privire la necesitatea publicării din perspectiva obiectivelor urmărite
–
Cu privire la proporționalitatea „stricto sensu”, și anume evaluarea comparativă a intereselor existente
Cu privire la momentul evaluării comparative
Concluzii cu privire la a treia și la a patra întrebare
Cu privire la a șaptea întrebare
Este admisibilă plângerea adresată autorității de supraveghere înainte de prelucrarea datelor?
Plângerea adresată autorității de supraveghere devine admisibilă „a posteriori”?
Concluzie cu privire la a șaptea întrebare
Concluzie
Introducere
1.        Reglementările sportive se află la intersecția mai multor surse normative. Acest lucru este ilustrat de reglementările anti‑doping, care sunt rezultatul unei coproducții normative private și publice. În special, Codul mondial anti‑doping (CMA), adoptat în temeiul Statutului Agenției Mondiale Antidoping (WADA), este un instrument cu caracter privat pe care statele semnatare s‑au angajat să îl respecte prin intermediul Convenției internaționale a Organizației Națiunilor Unite împotriva dopajului în sport(2). Această reglementare, destinată să armonizeze politicile, normele și regulamentele antidoping ale organizațiilor sportive și ale autorităților publice din întreaga lume, formează astfel un sistem juridic sectorial transnațional specific(3).
2.        Curtea a fost deja chemată să se pronunțe cu privire la compatibilitatea reglementărilor sportive cu dreptul Uniunii, îndeosebi din perspectiva liberei prestări a serviciilor sau a concurenței(4).
3.        Prezenta cauză oferă Curții ocazia inedită(5) de a aborda anumite aspecte ale reglementării antidoping în raport cu cerințele legate de protecția datelor cu caracter personal. Astfel, este vorba de concilierea, pe de o parte, a cerințelor eticii sportive, care s‑ar traduce în speță prin publicarea nominală, online, a sancțiunilor aplicate sportivilor atunci când încalcă normele antidoping și, pe de altă parte, a protecției datelor cu caracter personal ale acestor sportivi, care decurge din Regulamentul (UE) 2016/679 (denumit în continuare „RGPD”)(6).
4.        Într‑un moment în care CMA este în curs de revizuire(7), domeniul de aplicare al hotărârii care urmează să fie pronunțată ar putea depăși frontierele europene.
Cadrul juridic
Dreptul Uniunii
5.        Articolul 16 TFUE prevede la alineatul (1) că orice persoană are dreptul la protecția datelor cu caracter personal care o privesc. Alineatul (2) al acestuia prevede că „Parlamentul European și Consiliul, hotărând în conformitate cu procedura legislativă ordinară, stabilesc normele privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii, precum și de către statele membre în exercitarea activităților care fac parte din domeniul de aplicare a dreptului Uniunii, precum și normele privind libera circulație a acestor date. Respectarea acestor norme face obiectul controlului unor autorități independente”.
6.        Articolul 165 TFUE prevede la alineatul (2) că acțiunea Uniunii urmărește în special „să dezvolte dimensiunea europeană a sportului, prin promovarea spiritului de echitate și de deschidere în competițiile sportive și a cooperării între organizațiile cu responsabilități în domeniul sportului, precum și prin protejarea integrității fizice și morale a sportivilor, îndeosebi a celor mai tineri dintre aceștia”. În acest scop, alineatul (4) al acestuia prevede că „Consiliul adoptă recomandări, la propunerea Comisiei”.
7.        Potrivit considerentului (35) al RGPD, „[d]atele cu caracter personal privind sănătatea ar trebui să includă toate datele având legătură cu starea de sănătate a persoanei vizate care dezvăluie informații despre starea de sănătate fizică sau mentală trecută, prezentă sau viitoare a persoanei vizate. Acestea includ informații despre persoana fizică colectate în cadrul înscrierii acesteia la serviciile de asistență medicală […], un număr, un simbol sau un semn distinctiv atribuit unei persoane fizice pentru identificarea singulară a acesteia în scopuri medicale; informații rezultate din testarea sau examinarea unei părți a corpului sau a unei substanțe corporale, inclusiv din date genetice și eșantioane de material biologic; precum și orice informații privind, de exemplu, o boală, un handicap, un risc de îmbolnăvire, istoricul medical, tratamentul clinic sau starea fiziologică sau biomedicală a persoanei vizate, indiferent de sursa acestora, ca de exemplu, un medic sau un alt cadru medical, un spital, un dispozitiv medical sau un test de diagnostic in vitro”.
8.        Articolul 2 din RGPD, intitulat „Domeniul de aplicare material”, prevede la alineatul (1) că „[p]rezentul regulament se aplică prelucrării datelor cu caracter personal, efectuată total sau parțial prin mijloace automatizate, precum și prelucrării prin alte mijloace decât cele automatizate a datelor cu caracter personal care fac parte dintr‑un sistem de evidență a datelor sau care sunt destinate să facă parte dintr‑un sistem de evidență a datelor”. Din articolul 2 alineatul (2) litera (a) din RGPD rezultă că acest regulament nu se aplică prelucrării datelor cu caracter personal „în cadrul unei activități care nu intră sub incidența dreptului Uniunii”.
9.        Articolul 4 din RGPD, intitulat „Definiții”, prevede la punctul 15 că, în sensul acestui regulament, „«date privind sănătatea» înseamnă date cu caracter personal legate de sănătatea fizică sau mentală a unei persoane fizice, inclusiv prestarea de servicii de asistență medicală, care dezvăluie informații despre starea de sănătate a acesteia”.
10.      Articolul 5 din regulamentul menționat, intitulat „Principii legate de prelucrarea datelor cu caracter personal”, prevede:
„(1)      Datele cu caracter personal sunt:
(a)      prelucrate în mod legal, echitabil și transparent față de persoana vizată («legalitate, echitate și transparență»);
[…]
(c)      adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate («reducerea la minimum a datelor»);
[…]”
11.      Articolul 6 din același regulament, intitulat „Legalitatea prelucrării”, prevede:
„(1)      Prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții:
[…]
(c)      prelucrarea este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului;
[…]
(e)      prelucrarea este necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul;
[…]
(3)      Temeiul pentru prelucrarea menționată la alineatul (1) literele (c) și (e) trebuie să fie prevăzut în:
(a)      dreptul Uniunii; sau
(b)      dreptul intern care se aplică operatorului.
Scopul prelucrării este stabilit pe baza respectivului temei juridic sau, în ceea ce privește prelucrarea menționată la alineatul (1) litera (e), este necesar pentru îndeplinirea unei sarcini efectuate în interes public sau în cadrul exercitării unei funcții publice atribuite operatorului. Respectivul temei juridic poate conține dispoziții specifice privind adaptarea aplicării normelor prezentului regulament, printre altele: condițiile generale care reglementează legalitatea prelucrării de către operator; tipurile de date care fac obiectul prelucrării; persoanele vizate; entitățile cărora le pot fi divulgate datele și scopul pentru care respectivele date cu caracter personal pot fi divulgate; limitările legate de scop; perioadele de stocare; și operațiunile și procedurile de prelucrare, inclusiv măsurile de asigurare a unei prelucrări legale și echitabile cum sunt cele pentru alte situații concrete de prelucrare astfel cum sunt prevăzute în capitolul IX. Dreptul Uniunii sau dreptul intern urmărește un obiectiv de interes public și este proporțional cu obiectivul legitim urmărit.
[…]”
12.      Articolul 9 alineatul (1) din RGPD, intitulat „Prelucrarea de categorii speciale de date cu caracter personal”, interzice printre altele prelucrarea datelor cu caracter personal privind sănătatea. Din articolul 9 alineatul (2) litera (g) din acest regulament rezultă că alineatul (1) nu se aplică în cazul în care „prelucrarea este necesară din motive de interes public major, în baza dreptului Uniunii sau a dreptului intern, care este proporțional cu obiectivul urmărit, respectă esența dreptului la protecția datelor și prevede măsuri corespunzătoare și specifice pentru protejarea drepturilor fundamentale și a intereselor persoanei vizate”.
13.      Articolul 10 din RGPD, intitulat „Prelucrarea de date cu caracter personal referitoare la condamnări penale și infracțiuni”, prevede că „[p]relucrarea de date cu caracter personal referitoare la condamnări penale și infracțiuni […] se efectuează numai sub controlul unei autorități de stat sau atunci când prelucrarea este autorizată de dreptul Uniunii sau de dreptul intern care prevede garanții adecvate pentru drepturile și libertățile persoanelor vizate. Orice registru cuprinzător al condamnărilor penale se ține numai sub controlul unei autorități de stat”.
14.      Articolul 77 din RGPD, intitulat „Dreptul de a depune o plângere la o autoritate de supraveghere”, prevede la alineatul (1):
„Fără a aduce atingere oricăror alte căi de atac administrative sau judiciare, orice persoană vizată are dreptul de a depune o plângere la o autoritate de supraveghere, în special în statul membru în care își are reședința obișnuită, în care se află locul său de muncă sau în care a avut loc presupusa încălcare, în cazul în care consideră că prelucrarea datelor cu caracter personal care o vizează încalcă prezentul regulament.”
15.      Articolul 78 din RGPD, intitulat „Dreptul la o cale de atac judiciară eficientă împotriva unei autorități de supraveghere”, prevede la alineatul (1):
„Fără a aduce atingere oricăror alte căi de atac administrative sau nejudiciare, fiecare persoană fizică sau juridică are dreptul de a exercita o cale de atac judiciară eficientă împotriva unei decizii obligatorii din punct de vedere juridic a unei autorități de supraveghere care o vizează.”
Dreptul austriac
16.      Din articolul 5 alineatul (5) din Anti‑Doping‑Bundesgesetz 2021 (Legea federală antidoping din 2021) din 23 decembrie 2020 (BGBl. I, 152/2020) (denumită în continuare „ADBG”) rezultă că Nationale Anti‑Doping Agentur Austria GmbH (Agenția Independentă Antidoping, Austria, denumită în continuare „NADA”) este o societate de utilitate publică cu răspundere limitată care îndeplinește atribuțiile organismului independent de control antidoping și este operator de date cu caracter personal.
17.      În conformitate cu articolul 5 alineatul (6) punctul 4 din ADBG, NADA informează Bundes‑Sportorganisation (Organizația Federală Austriacă a Sportului), organizațiile sportive, sportivii, alte persoane, precum și organizatorii de competiții și pune la dispoziția publicului larg în mod gratuit anumite informații, și anume „măsurile de siguranță (de exemplu, suspendările) și interdicțiile impuse sportivilor și altor persoane, de care a luat cunoștință […] și ridicarea acestora, cu menționarea numelui persoanei respective, a duratei interdicției și a motivelor acesteia, fără ca din aceste informații să poată fi deduse categorii speciale de date cu caracter personal, în special date privind sănătatea, ale persoanelor vizate. Această informație poate fi omisă în cazul persoanelor foarte vulnerabile și al sportivilor amatori […]”.
18.      Articolul 6 alineatul (2) din ADBG prevede în special că NADA asigură, în conformitate cu articolele 32-34 din RGPD, securitatea datelor cu caracter personal și a categoriilor speciale de date cu caracter personal. Această dispoziție precizează că „[n]ecesitatea prelucrării datelor rezultă din punerea în aplicare eficientă a dispozițiilor antidoping ale CMA și a dispozițiilor prezentei legi federale, cu condiția ca persoanele vizate să se fi obligat prin convenție să respecte CMA”. În plus, „[c]ategoriile speciale de date cu caracter personal, în special datele privind sănătatea, pot fi prelucrate numai dacă este absolut necesar în conformitate cu dispozițiile antidoping ale prezentei legi federale și ale CMA”.
19.      Österreichische Anti‑Doping Rechtskommission (Comisia Juridică Austriacă Antidoping, denumită în continuare „ÖADR”) este o comisie publică și independentă față de organele de stat, de particulari și de NADA, care, în temeiul articolului 7 alineatul (1) din ADBG, trebuie „să desfășoare procedurile disciplinare pentru federația sportivă federală competentă, în conformitate cu dispozițiile antidoping aplicabile ale federației sportive internaționale competente (procedura antidoping)”.
20.      În temeiul articolului 21 alineatul (3) din ADBG, ÖADR trebuie, „[î]n termen de cel mult 20 de zile de la rămânerea definitivă a hotărârii, să informeze Bundes‑Sportorganisation [Organizația Federală a Sportului], organizațiile sportive, sportivii, alte persoane și organizatorii de competiții, precum și publicul larg despre măsurile de siguranță aplicate (de exemplu, suspendări) și despre deciziile din procedura antidoping, cu menționarea numelui persoanei vizate, a duratei interdicției și a motivelor care au determinat impunerea acesteia, fără ca din aceste informații să poată fi deduse date privind sănătatea persoanei vizate. Această informație poate fi omisă în cazul persoanelor foarte vulnerabile, al sportivilor amatori, precum și al persoanelor care prin dezvăluirea de informații sau a altor indicii au contribuit în mod substanțial la descoperirea unor încălcări potențiale ale dispozițiilor antidoping. În cazul sportivilor amatori, dezvăluirea are loc pentru motive de sănătate publică atunci când s‑a constatat o încălcare a reglementărilor antidoping potrivit articolului 1 alineatul (2) punctele 3, 9-11”.
21.      Rezultă în esență din articolul 23 alineatul (14) din ADBG că Unabhängige Schiedskommission (Comisia Independentă de Arbitraj, Austria, denumită în continuare „USK”) are aceleași obligații.
Litigiul principal, întrebările preliminare și procedura în fața Curții
22.      În cadrul procedurilor antidoping, sportivii AR, YT, DI și RN (denumiți în continuare „reclamanții”) au făcut obiectul unor decizii de suspendare (pentru o perioadă determinată sau pe viață, după caz), emise fie de ÖADR, competentă să desfășoare procedurile antidoping, fie de USK, competentă să reexamineze deciziile ÖADR.
23.      În temeiul legislației antidoping austriece, suspendările stabilite de ÖADR sau de USK sunt publicate de către NADA pe o listă pe site‑ul său. Pe durata suspendărilor, această listă cuprinde prenumele și numele sportivului vizat, sportul practicat, încălcarea normelor antidoping săvârșită, sancțiunea aplicată, precum și data de început și de sfârșit a acesteia. ÖADR publică de asemenea, într‑un comunicat pe propriul site, aceleași date, precum și substanța interzisă eventual
în cauză.
24.      Reclamanții au solicitat ÖADR și NADA, la 14 și la 15 octombrie 2021, ca numele lor și disciplinele sportive respective să nu mai fie accesibile public. ÖADR și NADA nu au dat curs acestor cereri.
25.      La 22 octombrie 2021, reclamanții au sesizat Österreichische Datenschutzbehörde (Autoritatea austriacă pentru protecția datelor, Austria, denumită în continuare „autoritatea austriacă pentru protecția datelor”) cu o plângere în conformitate cu articolul 77 alineatul (1) din RGPD, având ca obiect constatarea încălcării dreptului la ștergerea datelor și restricționarea prelucrării lor și obligarea ÖADR și a NADA la eliminarea numelor lor și a sporturilor practicate, publicate pe site‑urile menționate. De asemenea ei au susținut că era vorba de o categorie specială de date cu caracter personal, precum și de o prelucrare a datelor cu caracter personal referitoare la condamnări penale și infracțiuni, în sensul articolelor 9 și, respectiv, 10 din RGPD. Regimul nediferențiat al publicării prevăzut în dreptul austriac ar fi incompatibil cu articolul 6 alineatul (3) din RGPD și nu ar fi nici necesar, nici proporțional.
26.      La 26 noiembrie 2021, autoritatea austriacă pentru protecția datelor a respins ca neîntemeiată această plângere. Referitor mai precis la cazul lui YT, plângerea sa a fost respinsă pentru lipsa interesului de a formula plângere, întrucât datele sale nu fuseseră încă publicate.
27.      Reclamanții au introdus atunci o acțiune la Bundesverwaltungsgericht (Tribunalul Administrativ Federal, Austria), care este instanța de trimitere, întemeiată pe articolul 78 alineatul (1) din RGPD. În acest context, NADA, prima pârâtă în litigiul principal, a susținut că publicarea datelor cu caracter personal pe site‑ul său era necesară pentru respectarea unei obligații legale care îi revenea și pentru îndeplinirea unei sarcini care servea unui interes public în sensul articolului 6 alineatul (1) literele (c) și (e) din RGPD.
28.      Instanța de trimitere a suspendat procedura principală ca urmare a introducerii de către USK a unei cereri de decizie preliminară în cauza NADA ș.a.(8). După respingerea acestei cereri pentru inadmisibilitate prin Hotărârea din 7 mai 2024(9), procedura națională în fața instanței de trimitere și‑a reluat cursul.
29.      În acest context, Bundesverwaltungsgericht (Tribunalul Administrativ Federal) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:
„1)      Prelucrarea datelor unor persoane, prin care numele lor, disciplina sportivă practicată, încălcarea dispozițiilor antidoping săvârșită, sancțiunea [aplicată] și data de început și de sfârșit a sancțiunii sunt publicate în partea accesibilă publicului a site‑ului internet al [NADA], https://www.nada.at/de/recht/suspendierungen‑sperren, sub forma înscrierii într‑un tabel, precum și prin comunicate de presă accesibile publicului ale […] [ÖADR] de la adresa de internet https://www.oeadr.at, intră în domeniul de aplicare al dreptului Uniunii în sensul articolului 16 alineatul (2) prima teză TFUE, cu consecința aplicării [RGPD] [unor] asemenea prelucrări [ale] datelor cu caracter personal?
În cazul unui răspuns afirmativ la prima întrebare:
2)      Informația referitoare la faptul că o anumită persoană a săvârșit o anumită încălcare a dispozițiilor antidoping și că din cauza acestei încălcări i s‑a interzis să participe la competiții (naționale și internaționale) constituie o «dată privind sănătatea» în sensul articolului 9 din RGPD?
3)      RGPD – în special în lumina articolului 6 alineatul (3) al doilea paragraf din acesta – se opune unei dispoziții naționale care prevede publicarea numelui persoanelor vizate de decizia Comisia Juridică Austriacă Antidoping sau a Comisia Independentă de Arbitraj, a duratei interdicției și a motivelor pentru impunerea acesteia, însă fără a putea fi deduse date privind sănătatea persoanei vizate? În această privință, are vreo relevanță faptul că, potrivit dispoziției naționale, publicarea acestor informații către publicul larg poate fi omisă numai în cazul în care persoana vizată este un sportiv amator, un minor sau o persoană care, prin dezvăluirea de informații sau de alte indicii, a contribuit în mod substanțial la descoperirea unor încălcări potențiale ale reglementării antidoping?
4)      RGPD – în special în lumina principiilor prevăzute la articolul 5 alineatul (1) literele (a) și (c) din acesta – impune, în toate cazurile, înainte de publicare, să se realizeze o evaluare comparativă a intereselor personale ale persoanei vizate cărora li se aduce atingere prin publicare, pe de o parte, și a interesului publicului larg de a fi informat cu privire la încălcarea reglementării antidoping săvârșită de un sportiv, pe de altă parte?
5)      Informația referitoare la faptul că o anumită persoană a săvârșit o anumită încălcare a dispozițiilor antidoping și că din cauza acestei încălcări i s‑a interzis să participe la competiții (naționale și internaționale) constituie o prelucrare de date cu caracter personal referitoare la condamnări penale și infracțiuni în sensul articolului 10 din RGPD?
6)      În cazul unui răspuns afirmativ la cea de a cincea întrebare:
Activitățile sau deciziile unei autorități care este însărcinată cu supravegherea prelucrării datelor cu caracter personal referitoare la condamnări penale și infracțiuni sau la măsuri de securitate conexe în sensul articolului 10 din RGPD trebuie să fie supuse controlului jurisdicțional?
7)      Plângerea depusă în temeiul articolului 77 din RGPD, prin care se invocă o încălcare a articolului 17 din RGPD – în condițiile în care, la momentul depunerii plângerii la autoritatea pentru protecția datelor și al deciziei acestei autorități, nu avusese loc prelucrarea datelor cu caracter personal ale persoanei vizate, această prelucrare producându‑se totuși pe parcursul procedurii jurisdicționale din calea de atac în fața instanței –, este admisibilă, respectiv, devine admisibilă ulterior, dacă la depunerea plângerii existau deja indicii că prelucrarea datelor cu caracter personal de către operator era iminentă sau că urma să aibă loc în viitorul apropriat?”
30.      Reclamanții din litigiul principal, NADA, autoritatea austriacă pentru protecția datelor, Comisia, precum și guvernele austriac, leton, neerlandez, polonez și finlandez au depus observații scrise. Reclamanții din litigiul principal, NADA, Comisia, precum și guvernele austriac, leton și finlandez au prezentat și observații orale în ședința care a avut loc în mod public la 13 mai 2025.
Analiză
31.      După examinarea primei întrebări preliminare privind aplicabilitatea RGPD, vom analiza a doua, a cincea și a șasea întrebare, care privesc anumite date concrete, înainte de a aborda problema legată de principiul proporționalității (a treia și a patra întrebare preliminară). La sfârșit vom examina a șaptea întrebare, care este de natură mai procedurală.
Cu privire la prima întrebare
32.      Prin intermediul primei întrebări, instanța de trimitere solicită în esență să se stabilească dacă punerea în aplicare a legislației antidoping constituie sau nu o „activitate” care face parte din „domeniul de aplicare al dreptului Uniunii” în sensul articolului 16 alineatul (2) prima teză TFUE.
33.      Miza acestui răspuns este importantă, întrucât, în cazul unui răspuns negativ, RGPD nu s‑ar aplica în litigiul principal. Într‑adevăr, RGPD, adoptat în temeiul articolului 16 TFUE, exclude din domeniul său de aplicare, prin articolul 2 alineatul (2) litera (a), prelucrarea datelor cu caracter personal în cadrul unei activități „care nu intră sub incidența dreptului Uniunii”.
34.      Cu titlu introductiv, și chiar dacă nu este menționată de instanța de trimitere, dorim să amintim că excepția vizată la articolul 2 alineatul 2 litera (d) din RGPD stabilește că acest regulament nu se aplică prelucrării datelor cu caracter personal „de către autoritățile competente în scopul prevenirii, investigării, depistării sau urmăririi penale a infracțiunilor, sau al executării sancțiunilor penale […]”. Excepția respectivă se explică prin faptul că prelucrările datelor cu caracter personal în astfel de scopuri de către „autoritățile competente” sunt reglementate de un act mai specific al Uniunii, și anume Directiva (UE) 2016/680(10), adoptată în aceeași zi cu RGPD. În acest stadiu, nu este exclus ca, în speță, să poată fi îndeplinit criteriul material al acestei excepții. Astfel, aspectul dacă prelucrarea datelor în discuție în speță este efectuată în scopurile vizate la articolul 2 alineatul (2) litera (d) din RGPD este legat de obiectul celei de a cincea întrebări preliminare (referitoare la articolul 10 din RGPD), care privește natura penală sau nu a sancțiunilor și a încălcărilor care fac obiectul prelucrărilor de date în cauză. Totuși, criteriul organic al excepției vizate la articolul 2 alineatul (2) litera (d) din RGPD nu a fost abordat: NADA și ÖADR sunt „autorități competente” în sensul articolului 3 alineatul (7) din Directiva 2016/680? În cazul unui răspuns negativ, RGPD se aplică, ceea ce va constitui ipoteza noastră de lucru pentru continuarea analizei. În schimb, în cazul unui răspuns afirmativ și în ipoteza în care ar fi îndeplinit și criteriul material, s‑ar ridica problema aplicabilității Directivei 2016/680 în locul RGPD, aspect a cărui verificare revine instanței de trimitere.
35.      Odată făcută această observație, arătăm că în speță nu se contestă că prelucrările de date cu caracter personal în discuție, efectuate de autoritățile austriece antidoping și care constau în publicarea pe internet a numelor sportivilor vizați, a disciplinei sportive practicate, a încălcării dispozițiilor antidoping săvârșite, a sancțiunii aplicate, precum și a datei de început și de sfârșit a acestei sancțiuni, corespund prelucrărilor cărora li se aplică RGPD în temeiul articolului 2 alineatul (1), și anume prelucrărilor de date cu caracter personal, efectuate total sau parțial prin mijloace automatizate(11).
36.      Problema mai controversată care se ridică este aceea dacă prelucrarea respectivă intră în domeniul de aplicare al excepției prevăzute la articolul 2 alineatul (2) litera (a) din RGPD.
37.      În cadrul analizei noastre, vom aminti, într‑o primă etapă, principiul interpretării stricte a excepției de la articolul 2 alineatul (2) litera (a) din RGPD și vom deduce de aici, într‑o a doua etapă, consecințele pentru activitatea antidoping în raport cu argumentele invocate de NADA.
Cu privire la interpretarea strictă a excepției de la articolul 2 alineatul (2) litera (a) din RGPD
38.      Potrivit unei jurisprudențe constante, excepția prevăzută la articolul 2 alineatul (2) litera (a) din RGPD, în măsura în care face să fie inaplicabil regimul de protecție a datelor cu caracter personal prevăzut de RGPD și se îndepărtează astfel de obiectivul său de protecție, trebuie să facă obiectul unei interpretări stricte(12).
39.      Astfel, după cum se arată în esență în considerentele (6)-(12) ale RGPD, evoluțiile tehnologice rapide, globalizarea și amploarea colectării și a schimbului de date cu caracter personal impun un cadru solid și coerent în materie de protecție a datelor în Uniune, care să asigure un nivel ridicat de protecție a drepturilor și libertăților persoanelor fizice în ceea ce privește prelucrarea acestor date, echivalent în toate statele membre, însoțit de o aplicare riguroasă a normelor, astfel încât să creeze un climat de încredere de natură să permită economiei digitale să se dezvolte pe piața internă.
40.      Prin urmare, din această perspectivă, domeniul de aplicare material al RGPD, stabilit la articolul 2, este în mod necesar larg, iar excepțiile pe care le prevede fac obiectul unei interpretări stricte. Astfel, Curtea a statuat că articolul 2 alineatul (2) litera (a) din RGPD interpretat în lumina considerentului (16) al acestuia are ca unic obiectiv excluderea din domeniul de aplicare al regulamentului menționat a prelucrărilor de date cu caracter personal efectuate în cadrul unei activități de apărare a securității naționale sau al unei activități care poate fi încadrată în aceeași categorie.
41.      Activitățile care au ca scop apărarea securității naționale cuprind în special activitățile care au ca obiect protejarea funcțiilor esențiale ale statului și a intereselor fundamentale ale societății(13).
42.      Însă nu persoanele ca atare sunt excluse din domeniul de aplicare al RGPD, ci numai activitățile în cauză ale acestora(14). Astfel, simplul fapt că o activitate este proprie statului sau unei autorități publice nu este suficient pentru ca această excepție să fie automat aplicabilă activității respective(15). De asemenea nu este suficient faptul că autorul prelucrării în cauză are activități privind securitatea națională, întrucât activitatea în cauză în cadrul prelucrării vizate este singura care este pertinentă(16). Nu este suficient nici faptul că, în cadrul unui transfer de date în scopuri comerciale dintr‑un stat membru către o țară terță, datele în cauză sunt susceptibile de a fi prelucrate, în cursul sau în urma acestui transfer, de către autoritățile țării terțe în cauză, în scopuri de siguranță publică, de apărare și de securitate a statului(17).
43.      Or, în speță, după cum a subliniat guvernul austriac, articolul 1 alineatul (1) din ADBG prevede că, „întrucât influențează aptitudinile sportive, dopajul este contrar principiului echității în competiția sportivă, precum și valorii intrinseci reale a sportului (spiritul sportiv) și, în plus, prezintă riscuri pentru sănătate”.
44.      Prin urmare, nu se poate susține că publicarea de date cu caracter personal de către NADA și ÖADR constituie o prelucrare de date în cadrul unei activități, în speță combaterea dopajului, care ar fi legată de securitatea națională sau care ar putea fi încadrată în această categorie vizată la articolul 2 alineatul (2) litera (a) din RGPD.
45.      Trebuie să se concluzioneze de aici că excepția întemeiată pe această dispoziție din RGPD nu este aplicabilă prelucrării de date în discuție în speță.
46.      Argumentele NADA, care sunt întemeiate, pe de o parte, pe faptul că activitatea antidoping ține de competența statele membre și, pe de altă parte, pe lipsa caracterului economic al activității respective, nu sunt de natură să infirme această constatare, după cum vom încerca să demonstrăm în continuare.
Activitatea „antidoping” nu este exclusă din domeniul de aplicare al RGPD…
–       … chiar dacă ține de competența statelor membre
47.      În primul rând, NADA susține că politica antidoping este un domeniu care, în conformitate cu repartizarea competențelor prevăzută de dreptul Uniunii, rămâne de resortul statelor membre, în pofida competenței de sprijinire prevăzute în domeniul sportului la articolul 165 TFUE.
48.      Totuși, faptul că prelucrarea datelor cu caracter personal are loc în cadrul unei activități care ține de competența statelor membre nu este pertinent în sine pentru a exclude această prelucrare din domeniul de aplicare al RGPD în temeiul articolului 2 alineatul (2) litera (a) din acesta, din moment ce nu ține nici de o activitate care urmărește să protejeze securitatea națională, nici de o activitate care poate fi încadrată în aceeași categorie(18).
49.      În opinia noastră, excluderea din domeniul de aplicare al RGPD a unei prelucrări efectuate în cadrul unei activități pentru simplul motiv că această activitate ar intra în competența statelor membre ar fi contrară atât textului, cât și contextului și obiectivelor acestui regulament.
50.      Astfel, atunci când textul articolului 2 alineatul (2) litera (a) din RGPD utilizează noțiunea de „activitate care nu intră sub incidența dreptului Uniunii”, acesta nu face trimitere la o logică a competenței, ci la o logică materială de definire a domeniului de aplicare de către legiuitor, în RGPD însuși, învestit în acest sens de articolul 16 alineatul (2) TFUE. Această dispoziție „constituie și deleagă” Uniunii o competență legislativă în materie de protecție și liberă circulație a datelor cu caracter personal și definește în acest scop un domeniu de aplicare specific(19). Mai mult, în contextul special al protecției datelor cu caracter personal, ținând seama îndeosebi de natura autonomă a problematicilor legate de prelucrarea lor care au necesitat o intervenție legislativă specifică, noțiunea de „domeniu de aplicare al dreptului Uniunii” depășește ipotezele de „punere în aplicare a dreptului Uniunii” în sensul articolului 51 din Carta drepturilor fundamentale a Uniunii Europene (denumită în continuare „carta”)(20). În sfârșit, „în multe domenii care țin de competența statelor membre, dreptul Uniunii nu rămâne lipsit de relevanță”(21). Acest lucru este valabil în special în cazul RGPD, al cărui domeniu de aplicare, transversal, este în mod necesar larg, având în vedere obiectivele sale, amintite la punctul 39 din prezentele concluzii.
51.      Astfel, chiar dacă activitatea „antidoping” nu este reglementată de un act de drept al Uniunii și ține de competența statelor membre, nu se poate deduce de aici că prelucrarea efectuată în cadrul acestei activități antidoping nu intră „sub incidența dreptului Uniunii”, în sensul articolului 2 alineatul (2) litera (a) din RGPD, astfel cum a fost interpretat de Curte în contextul specific al RGPD.
52.      De altfel, după Tratatul de la Lisabona, sportul este o competență de sprijinire care revine Uniunii(22). Articolul 165 alineatul (2) TFUE prevede astfel că „[a]cțiunea Uniunii urmărește […] să dezvolte dimensiunea europeană a sportului, prin promovarea spiritului de echitate și de deschidere în competițiile sportive și a cooperării între organizațiile cu responsabilități în domeniul sportului, precum și prin protejarea integrității fizice și morale a sportivilor, îndeosebi a celor mai tineri dintre aceștia”. Acești termeni se referă în special la politicile antidoping. Desigur, o asemenea competență de sprijinire nu conferă Uniunii nicio putere de a legifera în domeniul sportului. Totuși, chiar dacă activitatea Uniunii nu este normativă, ea există și permite acesteia să adopte acte juridice cu scopul de a sprijini, de a coordona sau de a completa acțiunea statelor membre, în conformitate cu articolul 6 TFUE(23). În consecință, caracterul „sportiv” al dispozițiilor antidoping nu permite să se considere că punerea lor în aplicare constituie o activitate care nu ar intra sub incidența dreptului Uniunii în sensul articolului 2 alineatul (2) litera (a) din RGPD.
–       … și în pofida „lipsei” caracterului său economic
53.      În al doilea rând, NADA susține că practicarea sportului intră sub incidența dreptului Uniunii doar în măsura în care constituie o activitate economică. Normele antidoping în cauză s‑ar întemeia, la rândul lor, pe considerații pur sportive, astfel încât prelucrarea datelor aflate în discuție în speță nu ar constitui o chestiune care ține de activitatea economică și nu ar intra, așadar, sub incidența dreptului Uniunii.
54.      Nici acest argument, întemeiat pe o presupusă „separabilitate” a dispozițiilor antidoping, nu ne convinge.
55.      Într‑adevăr, afirmația potrivit căreia „exercitarea sporturilor intră sub incidența dreptului comunitar doar în măsura în care constituie o activitate economică în sensul articolului 2 din Tratatul [CE]” ne conduce la Hotărârea din 12 decembrie 1974, Walrave și Koch(24). Or, de atunci, Uniunea și‑a exercitat competența în materie de protecție a datelor în temeiul articolului 16 TFUE. Astfel, statele membre au intenționat să aplice dreptul Uniunii privind protecția datelor cu caracter personal inclusiv în domenii care nu sunt de natură economică, după cum atestă deopotrivă textul, contextul și obiectivele RGPD.
56.      Mai întâi, textul articolului 2 alineatul (2) litera (a) din RGPD stabilește domeniul de aplicare material al acestui regulament utilizând noțiunea de „activitate”, iar nu de „activitate economică” care intră sau nu sub incidența dreptului Uniunii.
57.      Apoi, contextul RGPD și în special dispozițiile sale în domeniul transferurilor de date cu caracter personal către țări terțe sau organizații internaționale (capitolul V din RGPD) confirmă această abordare textuală. Astfel, deși nu sunt îndeplinite condițiile pentru ca un asemenea transfer să aibă loc, derogările prevăzute, în cazul unor situații specifice, la articolul 49 din RGPD pot autoriza însă un astfel de transfer. Or, considerentul (112) al RGPD menționează în mod expres că derogările pentru aceste situații specifice „ar trebui să se aplice, în special, transferurilor de date solicitate și necesare din considerente importante de interes public, de exemplu în cazul schimbului internațional de date […] pentru reducerea și/sau eliminarea dopajului în sport”. După cum a subliniat guvernul finlandez, considerentul respectiv indică faptul că legiuitorul Uniunii nu a considerat că prelucrarea datelor cu caracter personal în materie de control antidoping se afla în afara domeniului de aplicare al acestui regulament, deși aceasta privește o activitate care nu este de natură economică.
58.      În sfârșit, în opinia noastră, criteriul întemeiat pe legătura cu dreptul Uniunii printr‑o activitate economică nu este mai pertinent în raport cu obiectivele urmărite de RGPD. Astfel, un asemenea criteriu ar conduce la necesitatea de a stabili domeniul de aplicare al RGPD de la caz la caz, în funcție de aspectul dacă prelucrarea datelor în cauză ar prezenta sau nu o legătură cu dispoziții specifice ale dreptului Uniunii sau cu libertățile care guvernează piața internă. O astfel de abordare, variabilă în funcție de situațiile concrete în cauză, ar risca să facă limitele domeniului de aplicare al acestui regulament incerte și aleatorii(25), cu încălcarea obiectivelor esențiale ale acestuia, și anume asigurarea unei aplicări coerente și omogene a normelor de protecție în întreaga Uniune și înlăturarea obstacolelor din calea fluxurilor de date cu caracter personal în cadrul său.
59.      În rest, am adăuga că, cel puțin în cazul sportivilor profesioniști, nu se poate exclude o legătură între reglementarea antidoping și activitatea lor profesională și, așadar, o legătură economică îndeosebi cu libertatea de circulație și cu libera prestare a serviciilor(26). Astfel, sancțiunile aplicabile sunt de natură să determine consecințe economice deloc neglijabile ca urmare a suspendării lor, uneori pe viață. Dacă, pentru stabilirea domeniului de aplicare al RGPD, trebuie să se facă apel la existența unei asemenea legături economice, s‑ar ajunge la rezultatul puțin satisfăcător că RGPD ar putea, de exemplu, să se aplice sportivilor profesioniști, dar nu și sportivilor amatori(27). O asemenea diferență de tratament, în funcție de aspectul dacă activitatea este considerată ca fiind economică sau nu, este greu de conciliat cu RGPD și obiectivele sale de protecție în ceea ce privește datele cu caracter personal.
Concluzie cu privire la prima întrebare
60.      Având în vedere toate cele de mai sus, propunem Curții să răspundă la prima întrebare că articolul 16 alineatul (2) prima teză TFUE și articolul 2 alineatul (2) litera (a) din RGPD trebuie interpretate în sensul că prelucrările datelor cu caracter personal care constau, în temeiul dispozițiilor naționale antidoping, în publicarea numelui sportivilor vizați, a disciplinei sportive practicate, a încălcării dispozițiilor antidoping săvârșite, a sancțiunii aplicate, precum și a datei de început și de sfârșit a acestei sancțiuni nu pot fi considerate ca fiind efectuate în cadrul unei „activități care nu intră sub incidența dreptului Uniunii”, în sensul articolului 2 alineatul (2) litera (a) din RGPD.
Cu privire la a doua întrebare
61.      Prin intermediul celei de a doua întrebări, instanța de trimitere solicită să se stabilească dacă publicarea datelor cu caracter personal în cauză are ca obiect „date privind sănătatea” în sensul articolului 9 din RGPD.
Cu privire la interpretarea largă a noțiunii de „date privind sănătatea”
62.      Miza acestei întrebări rezidă în faptul că articolul 9 din RGPD prevede un regim juridic deosebit de protector pentru categoriile de date cu caracter personal așa‑numite „sensibile”, din care fac parte „datele privind sănătatea” (sau „datele despre sănătate”). Datele respective, considerate ca fiind în centrul intimității persoanelor, necesită ca atare un nivel ridicat de protecție, atât datorită protecției vieții private, secretului profesional, cât și datorită legislației referitoare la protecția datelor cu caracter personal(28). Prin urmare, prelucrarea lor este interzisă de articolul 9 alineatul (1) din RGPD, cu excepția cazului în care se aplică una dintre derogările prevăzute la alineatul (2) al acestuia. Acest lucru este reflectat în considerentul (51) al RGPD, referitor la caracterul de date sensibile, potrivit căruia protecția specifică se explică „deoarece contextul prelucrării acestora ar putea genera riscuri considerabile la adresa drepturilor și libertăților fundamentale”. Potrivit considerentului (54) al RGPD, dacă ele fac obiectul unei prelucrări din motive de interes public, trebuie să se evite prelucrarea lor „în alte scopuri de către părți terțe, cum ar fi angajatorii sau societățile de asigurări și băncile”(29). De altfel, imperativul protecției datelor a crescut odată cu informatizarea structurilor de sănătate și cu dematerializarea suporturilor și a fluxurilor de date(30).
63.      Adăugăm că interzicerea prelucrării datelor de sănătate, prevăzută la articolul 9 alineatul (1) din RGPD, este independentă de aspectul dacă informația dezvăluită de prelucrarea de date este sau nu exactă și dacă operatorul acționează în scopul de a obține informații care se încadrează în una dintre categoriile speciale vizate de această dispoziție(31). Trebuie să se deducă de aici că obiectivul operatorului, în special faptul că prelucrarea este necesară în temeiul unei obligații legale sau de interes public, dacă constituie un element pertinent în contextul eventualei aplicări a uneia dintre cele zece derogări prevăzute la articolul 9 alineatul (2) din RGPD, nu este un element care trebuie să fie luat în considerare în stadiul calificării ca „date despre sănătate”(32).
64.      În conformitate cu articolul 4 punctul 15 din RGPD coroborat cu considerentul (35) al acestui regulament, astfel de date includ toate datele cu caracter personal legate de sănătatea fizică sau mentală a unei persoane fizice, care dezvăluie(33) informații despre starea sa de sănătate trecută, prezentă sau viitoare.
65.      Curtea a statuat deja că, având în vedere obiectivul RGPD, noțiunea de „date privind sănătatea” prevăzută la articolul 9 alineatul (1) din acest regulament trebuie interpretată în sens larg(34). În conformitate cu interpretarea contextuală și teleologică a articolului 4 punctul 15 și a articolului 9 din RGPD, pentru a putea fi calificate ca atare, este suficient ca datele în cauză să fie, chiar și în mod indirect, de natură să dezvăluie, printr‑o operațiune intelectuală de combinare sau de deducție, informații cu privire la starea de sănătate a persoanei vizate(35).
66.      În acest context, apreciem că s‑ar putea distinge în mod schematic două categorii de date de sănătate.
67.       Pe de o parte, datele generate în cadrul medical care, în opinia noastră, pot fi considerate date despre sănătate „prin natura lor”(36), „obiective”(37), care vizează, după cum se arată în considerentul (35) al RGPD, informații privind, de exemplu, o boală fizică sau mentală, un handicap, un risc de îmbolnăvire, istoricul medical, tratamentul clinic. De regulă, ele figurează în dosarul medical al persoanei vizate(38). În mod similar, datele care, deși nu au caracter medical, sunt colectate pentru a fi incluse în dosarul de sănătate, cum ar fi datele administrative destinate să fie incluse în dosarul respectiv, sunt avute în vedere ca atare de considerentul (35) al RGPD ca „date despre sănătate”. În acest sens, este vorba de date considerate ca fiind legate de sănătate și care dezvăluie informații despre starea de sănătate a persoanei vizate.
68.      În acest cadru, noțiunea de „risc de îmbolnăvire”, menționată în considerentul (35) al RGPD, are cu siguranță o anumită importanță. După cum reiese din lucrările Grupului de lucru instituit în temeiul articolului 29, este vorba aici inclusiv de date referitoare la starea de sănătate potențială viitoare a unei persoane vizate. Astfel, riscul viitor de îmbolnăvire „dovedit științific sau perceput în mod obișnuit” este luat în considerare și sunt menționate ca exemple consumul excesiv de alcool sau de tutun, precum și consumul de droguri(39).
69.      Pe de altă parte, în afara contextului medical, datele pot să privească sănătatea, în special dacă datele în cauză sunt de natură, chiar și indirect, să dezvăluie informații despre starea de sănătate fizică sau mentală trecută, prezentă sau viitoare a unei persoane fizice(40). Este „zona gri”(41) a noțiunii de „date despre sănătate”, care ridică problema punctului până la care legătura lor indirectă cu sănătatea poate conduce la calificarea ca atare a acestora. Elementul determinant în acest caz este aspectul dacă este posibil ca, pe baza datelor în cauză, să se tragă concluzii despre starea de sănătate a persoanei vizate, fără a conta dacă este vorba de o stare patologică sau fiziologică, independent de fiabilitatea concluziilor respective. În această privință, pot fi luate în considerare elemente care țin de context(42), precum și legătura dintre informația în cauză și posibilitatea de a se deduce din aceasta un aspect al sănătății unei persoane(43).
70.      De exemplu, Grupul de lucru instituit în temeiul articolului 29 a considerat ca fiind date despre sănătate informațiile privind apartenența unei persoane la grupuri care au un obiectiv legate de sănătate precum „Weight Watchers” sau „Alcoolicii anonimi”(44). În plus, datele brute rezultate în urma unei automăsurări (de exemplu, greutatea sau tensiunea arterială înregistrată de un tensiometru conectat) care nu ar constitui în sine date despre sănătate ar putea să permită, în combinație cu alte informații, să se tragă concluzii despre sănătatea persoanei vizate. Grupul de lucru instituit în temeiul articolului 29 precizează în această privință că trebuie efectuată o apreciere de la caz la caz: o aplicație care urmărește și stochează numărul de pași făcuți pe parcursul câtorva zile și șterge datele respective după o săptămână nu poate să prelucreze „date despre sănătate”. Însă se consideră că o aplicație care combină mai mulți ani de înregistrări cuantificate complete ale unei persoane (care urmărește, de exemplu, obiceiurile de somn și de exerciții fizice, înregistrări detaliate despre alimentație, greutate, indicele de masă corporală, tensiunea arterială și alte statistici vitale, precum și un jurnal al stării de spirit) prelucrează date privind sănătatea. În acest caz, nu doar concluziile și deducțiile, ci și datele brute vor fi considerate date despre sănătate(45).
Aplicarea în speță
71.      În litigiul principal, reglementarea în cauză prevede că, pe lângă menționarea numelui sportivilor respectivi și a duratei suspendării lor, sunt divulgate motivele acestei suspendări prin trimitere la categoria de încălcări constatate. Atunci când încălcarea se referă la o substanță sau la o metodă interzisă, aceasta este menționată și în comunicatul publicat pe site‑ul internet al ÖADR(46).
72.      Mai întâi, trebuie amintit că încălcările normelor antidoping care sunt divulgate publicului se împart în mai multe categorii(47).
73.      Considerăm, asemenea autorității austriece pentru protecția datelor, că numai încălcările prevăzute în categoriile 2.1 și 2.2 trebuie examinate în raport cu noțiunea de „date despre sănătate”. Astfel, celelalte încălcări vizează comportamente ilicite care nu ne par susceptibile ca atare să dezvăluie, chiar și indirect, informații privind starea de sănătate a persoanei respective. De exemplu, informația potrivit căreia un sportiv nu și‑a îndeplinit obligația de localizare (încălcare din categoria 2.4) sau a făcut trafic cu substanțe interzise (încălcare din categoria 2.7) nu dezvăluie nicio informație referitoare la starea sa de sănătate.
74.      În continuare, trebuie să se arate că constatarea încălcărilor din categoriile 2.1 și 2.2 implică testarea antidoping a sportivului vizat și analiza de eșantioane pentru a detecta în acestea substanțele și metodele interzise. Adăugăm că aceste analize sunt efectuate de profesioniști acreditați(48) și, așadar, într‑un context cvasimedical sau chiar medical. Prin urmare, constatarea unor astfel de încălcări ne trimite la noțiunea de „informații rezultate din testarea sau examinarea unei părți a corpului sau a unei substanțe corporale” în sensul considerentului (35) al RGPD. În consecință, asemenea informații ar putea fi considerate date despre sănătate prin natura lor.
75.      În această privință, desigur, testul este efectuat în vederea detectării substanțelor dopante luate pentru îmbunătățirea performanțelor sportive, iar prelucrarea care constă în divulgarea informațiilor în cauză urmărește un obiectiv punitiv în privința sportivului vizat și disuasiv. Totuși, să reamintim că obiectivul urmărit nu este pertinent din perspectiva calificării datelor în cauză(49).
76.      De asemenea argumentul potrivit căruia substanțele dopante nu sunt medicamente nu ne pare convingător. Astfel, pe de o parte, noțiunea de „date despre sănătate” nu include numai datele medicale cu scop terapeutic. De altfel, anumite medicamente sunt nocive pentru sănătate dacă sunt utilizate în mod necorespunzător. Pe de altă parte, combaterea dopajului urmărește desigur să promoveze echitatea și egalitatea între sportivi, dar ea constituie totodată o preocupare legată de sănătate(50). Or, multe substanțe sau metode sunt interzise în special din cauza efectelor lor nefaste asupra sănătății, chiar dacă aceste efecte sunt variabile în funcție de produs, cantitatea absorbită sau constituția persoanei vizate(51).
77.      Prin urmare, pentru calificarea datelor în cauză, independent de faptul că obiectivul urmărit de sportiv constă în îmbunătățirea performanței sale, nu se poate face abstracție, în opinia noastră, de efectele absorbției unei substanțe interzise asupra sănătății acestui sportiv, indiferent dacă aceste efecte sunt prezente sau viitoare.
78.      În sfârșit, considerăm că publicarea online de către ÖADR a denumirii substanței interzise detectate în organism este de natură să informeze publicul cu privire la riscurile pe care absorbția sa le poate genera pentru sănătatea sportivului în cauză.
79.      Desigur, simpla menționare a denumirii substanței interzise prezente în organism ar putea fi considerată insuficientă în sine pentru a dezvălui informații referitoare la starea de sănătate, chiar și viitoare, a sportivului vizat. În această privință, conținutul în sine al informațiilor ar putea fi considerat prea succint, iar legătura cu starea de sănătate, prea indirectă sau chiar prea ipotetică pentru a constitui „date despre sănătate” în sensul RGPD. Totuși, nu se poate exclude posibilitatea ca, atunci când sunt combinate cu alte elemente, aceste informații să fie, chiar și indirect, de natură să dezvăluie, printr‑o operațiune intelectuală de aproximare sau de deducție, informații privind starea de sănătate chiar și viitoare a persoanei vizate.
80.      Prin urmare, considerăm că menționarea denumirii substanței în cauză (sau a categoriei sale) oferă indicii care, chiar dacă nu sunt foarte detaliate, sunt de natură să informeze, chiar dacă în mod indirect, despre starea de sănătate a persoanei respective. În contextul specific al RGPD, asemenea mențiuni constituie, în anumite împrejurări a căror verificare este de competența instanței de trimitere, „date privind sănătatea” în sensul articolului 4 punctul 15 și al articolului 9 alineatul (1) din RGPD coroborate cu considerentul (35) al acestui regulament.
81.      În schimb, apreciem că situația ar fi diferită dacă substanța interzisă în cauză (sau categoria sa) nu ar fi menționată. Într‑adevăr, în acest caz, ar fi imposibil să se facă legătura între constatarea unei încălcări ca urmare a prezenței unei substanțe interzise în organism, pe de o parte, și informațiile despre starea de sănătate a persoanei vizate, pe de altă parte, chiar și printr‑o „operațiune intelectuală de aproximare sau de deducere”. În opinia noastră, această legătură ar fi prea indirectă pentru ca informația divulgată să poată intra în categoria „datelor privind sănătatea” din RGPD.
Concluzie cu privire la a doua întrebare
82.      Prin urmare, propunem Curții să statueze că articolul 9 alineatul (1) din RGPD trebuie interpretat în sensul că nu constituie o prelucrare de date privind sănătatea, în sensul acestei dispoziții, faptul de a divulga numele sportivului în cauză, durata suspendării sale și motivele suspendării respective, cu excepția cazului în care aceste motive includ denumirea substanței sau a substanțelor interzise a căror prezență a fost detectată în organismul sportivului în cauză, din moment ce indiciul menționat este de natură să dezvăluie, chiar și indirect, informații despre starea de sănătate, chiar și viitoare, a sportivului vizat, aspect a cărui verificare este de competența instanței de trimitere.
Cu privire la a cincea întrebare
83.      Instanța de trimitere solicită în esență să se stabilească dacă publicarea în cauză constituie o prelucrare de date cu caracter personal referitoare la condamnări penale și infracțiuni în sensul articolului 10 din RGPD. Ea precizează în această privință că sancțiunile din litigiul principal cuprind retragerea titlurilor și restituirea premiilor, precum și o interdicție multianuală sau pe viață de a participa la orice competiții (naționale și internaționale). De asemenea aceasta arată că, potrivit articolului 24 alineatul (4) din ADBG, organizațiile sportive nu pot „recurge la” persoane cărora li s‑a impus o suspendare în conformitate cu legislația antidoping și, prin urmare, nici să le încadreze în muncă în schimbul unei remunerații.
84.      Înainte de a analiza natura sancțiunilor și a încălcării dispozițiilor antidoping în discuție, vom aminti miza unei calificări penale în contextul articolului 10 din RGPD.
Miza naturii „penale” a sancțiunilor și a încălcărilor în sensul articolului 10 din RGPD
85.      Trebuie amintit că legiuitorul Uniunii nu interzice prelucrarea datelor cu caracter personal referitoare la condamnări penale și infracțiuni, ci o supune unui control sporit, în măsura în care poate avea un impact semnificativ asupra vieții persoanelor vizate, în special în materie de atingere adusă reputației sau de discriminare în alte domenii. O asemenea prelucrare poate avea loc numai „sub controlul unei autorități de stat” sau dacă legislația care autorizează această prelucrare de date prevede „garanții adecvate pentru drepturile și libertățile persoanelor vizate“(52). Articolul 10 din RGPD rezervă această protecție sporită exclusiv domeniului penal, în condițiile în care termenul „penale” vizează atât „condamnările”, cât și „infracțiunile”(53).
86.      Este astfel susceptibilă să intre sub incidența articolului 10 din RGPD ținerea de registre ale condamnărilor penale și ale infracțiunilor de către organisme private(54), de exemplu în cadrul combaterii spălării banilor sau al activităților laboratoarelor criminalistice(55). Se poate menționa și exemplul prelucrării de date cu caracter personal de către organismele de închiriere de vehicule care identifică și indică un conducător auto care ar fi încălcat Codul rutier.
87.      Prin urmare, în speță, se ridică problema dacă acel „cazier sportiv”, publicat online de NADA și ÖADR, constituie un „registru” al condamnărilor penale și al infracțiunilor care intră în domeniul de aplicare al articolului 10 din RGPD și care implică, așadar, o protecție sporită.
Analiza naturii „penale” sau nepenale, în sensul articolului 10 din RGPD, a sancțiunilor și a încălcărilor reglementării antidoping
88.      Potrivit jurisprudenței Curții, noțiunea de „infracțiune”, decisivă pentru a determina aplicabilitatea articolului 10 din RGPD unor date cu caracter personal, necesită în întreaga Uniune o interpretare autonomă și uniformă care trebuie stabilită ținând cont de obiectivul urmărit de această dispoziție și de contextul în care aceasta se înscrie, fără să fie determinantă în această privință calificarea dată de statul membru în cauză încălcărilor respective, această calificare putând fi diferită de la o țară la alta.
89.      Cele trei „criterii Engel”, adoptate de Curte(56), și anume calificarea juridică a faptei ilicite în dreptul intern, natura însăși a faptei ilicite și gradul de severitate a sancțiunii pe care persoana în cauză riscă să o suporte, sunt astfel pertinente pentru a aprecia caracterul penal al unei fapte ilicite.
90.      Deși este de competența instanței de trimitere să aprecieze, în lumina acestor criterii, dacă sancțiunile și încălcările în discuție în litigiul principal prezintă o natură penală în sensul articolului 10 din RGPD, Curtea, pronunțându‑se asupra unei trimiteri preliminare, poate totuși oferi precizări destinate să orienteze această instanță în aprecierea pe care o va efectua(57).
91.      Prin urmare, vom examina pe baza acestor trei criterii încălcările și sancțiunile în cauză.
–       Calificarea juridică a încălcării în dreptul intern
92.      Din cererea de decizie preliminară reiese că, în dreptul austriac, ÖADR desfășoară proceduri disciplinare pentru federația sportivă competentă. De asemenea guvernul austriac a subliniat în cursul ședinței că reglementarea antidoping are un caracter sui generis în măsura în care încălcările acesteia sunt încălcări ale normelor federațiilor sportive în cauză, pe care sportivii se angajează să le respecte(58), iar nu încălcări ale legii.
93.      Prin urmare, calificarea încălcărilor reglementării antidoping în dreptul național nu merge în direcția unei calificări „penale” în sensul articolului 10 din RGPD.
94.      Cu toate acestea, sfera de aplicare a acestui prim criteriu Engel trebuie să fie relativizată, din moment ce chiar pentru faptele ilicite care nu sunt calificate drept „penale” în dreptul național un astfel de caracter poate totuși decurge din însăși natura faptei ilicite în discuție și din gradul de severitate a sancțiunilor pe care aceasta le poate antrena(59). Acest lucru este valabil în special în materia reglementării antidoping, dat fiind că sistemul suprastatal instituit face să intervină diferiți actori, internaționali și naționali(60), și că fiecare dintre statele membre au integrat CMA în diferite moduri în sistemele lor juridice. În consecință, punerea în aplicare a reglementării antidoping variază în mod necesar de la un stat la altul, în funcție de diferitele modele de organizații statale, chiar dacă se pare că, în majoritatea statelor membre, ONAD nu au competențe penale în această privință(61).
95.      Este necesar, așadar, să se examineze celelalte două criterii Engel.
–       Natura încălcării
96.      Acest al doilea criteriu impune să se verifice dacă sancțiunea care corespunde încălcării în discuție urmărește în special o finalitate represivă, fără ca simpla împrejurare că aceasta urmărește și o finalitate preventivă să fie de natură să îi înlăture calificarea de „sancțiune penală”. Astfel, este în însăși natura sancțiunilor penale ca acestea să aibă ca obiect atât reprimarea, cât și prevenirea comportamentelor ilicite. În schimb, o măsură care se limitează la a repara prejudiciul cauzat prin fapta ilicită vizată nu prezintă o natură penală(62).
97.      Din cererea de decizie preliminară reiese că două categorii de sancțiuni corespund încălcărilor reglementării antidoping.
98.      Pe de o parte, este vorba de retragerea titlurilor și restituirea premiilor, care constă în recuperarea câștigurilor pentru a le reatribui sportivilor care ar fi avut dreptul la ele dacă sportivul sancționat nu ar fi participat la competiție. O asemenea sancțiune pare a fi un răspuns la încălcarea „regulii jocului” („lex sportiva”) și se poate considera că urmărește în esență să restabilească loialitatea competițiilor(63), chiar dacă acest lucru nu diminuează deloc caracterul său punitiv pentru sportivul în cauză.
99.      Pe de altă parte, este vorba de suspendarea participării la competițiile sportive, care poate să fie de câteva luni sau de mai mulți ani sau chiar să ajungă, precum în cazul unuia dintre reclamanții din litigiul principal, până la interzicerea pe viață a participării la orice competiție. Desigur, această suspendare poate fi considerată o expresie a dorinței de a „scoate în afara legii” sportivul vinovat, pentru a‑l îndepărta sau pentru a‑l exclude din comunitatea sportivilor și, astfel, de a menține integritatea comunității respective. Totuși, ea este totodată destinată să sancționeze sportivul care a încălcat dispozițiile antidoping pe care s‑a angajat să le respecte, precum și să îi descurajeze pe ceilalți sportivi să facă același lucru.
100. Prin urmare, scopul principal al acestor sancțiuni antidoping sau cel puțin al suspendării participării la competiții nu pare să fie repararea prejudiciului suferit de terți ca urmare a încălcării, ci mai degrabă sancționarea comportamentului sportivului vizat, ceea ce merge în direcția unei condamnări penale(64). În această privință, reglementarea antidoping, chiar dacă nu reprezintă un corpus de drept penal, are un caracter punitiv(65).
101. Totuși, calificarea „penală” pe baza acestui al doilea criteriu Engel ar putea suscita ezitări în două privințe.
102. O primă ezitare decurge din constatarea faptului că procedurile disciplinare au fost mai degrabă abordate din perspectiva aspectului civil al articolului 6 din CEDO de către Curtea de la Strasbourg(66), cu excepția cazului în care, de exemplu, este aplicată o pedeapsă privativă de libertate, iar sancțiunea prezintă un grad de severitate suficient de ridicat(67).
103. În special, Curtea de la Strasbourg consideră că articolul 6 din CEDO este aplicabil în ceea ce privește aspectul său civil „litigiilor referitoare la retragerea dreptului de a exercita o profesie”(68), inclusiv în domeniul sportiv(69).
104. Prin urmare, natura penală a unei interdicții de a exercita o profesie este departe de a fi de la sine înțeleasă.
105. Totuși, considerăm că nu se poate deduce de aici, ipso facto și în mod absolut, că o sancțiune disciplinară care conduce la suspendarea participării la competițiile sportive nu ar putea să fie niciodată de natură penală.
106. Într‑adevăr, o astfel de abordare pare a fi pur formală.
107. În plus, trebuie amintit că cele două aspecte, civil și penal, ale articolului 6 din CEDO nu se exclud reciproc în mod necesar(70).
108. În sfârșit, trebuie avut în vedere faptul că Curtea de la Strasbourg efectuează examinarea naturii penale sau civile a încălcării în cauză în funcție de plângerile formulate în fața sa și în scopul de a aprecia dacă garanțiile pentru un proces echitabil prevăzute la articolul 6 din CEDO se aplică sub aspectul lor civil [alineatul (1)] sau penal [alineatele (1)-(3)].
109. În schimb, în contextul articolului 10 din RGPD, trebuie să se aprecieze dacă sancțiunea sau încălcarea este penală pentru a stabili dacă prelucrarea în cauză (în speță, publicarea) vizează o informație care merită o protecție sporită ce implică controlul unei autorități de stat. În plus, nimic nu se opune adoptării unei interpretări mai largi care să garanteze o protecție sporită drepturilor și libertăților în discuție(71). Prin urmare, în acest context al articolului 10 din RGPD revine instanței de trimitere să aprecieze dacă sunt sau nu îndeplinite criteriile Engel și, în special, al doilea criteriu referitor la natura încălcării.
110. O a doua ezitare provine din faptul că încălcările și sancțiunile antidoping vizează doar un grup specific de persoane, și anume sportivii, la fel ca sancțiunile disciplinare care au în general drept scop asigurarea respectării de către membrii săi a unor norme de comportament specifice grupului în discuție(72). Astfel de dispoziții sunt destinate să protejeze onoarea și reputația profesiei și să mențină încrederea publicului în profesia respectivă(73).
111. Desigur, o asemenea constatare ar permite calificarea încălcării ca „disciplinară” în sensul că aceasta poate fi săvârșită de un anumit număr de persoane vizate de un ansamblu de norme specifice. Prin aceasta, prezenta cauză se distinge de cauza în care s‑a pronunțat Hotărârea Latvijas Republikas Saeima și în care atribuirea punctelor de penalizare pentru încălcări ale normelor de circulație rutieră se întemeia pe un text cu aplicabilitate generală(74).
112. Totuși, calificarea drept „infracțiune” în sensul articolului 10 din RGPD nu este exclusă. Astfel, dacă domeniul de aplicare mai restrâns, specific reglementărilor disciplinare, ar fi suficient pentru a împiedica calificarea ca „penală”, s‑ar ajunge și în acest caz la o abordare pur formală a noțiunii. O asemenea abordare este greu de conciliat cu jurisprudența, care impune în această privință să se verifice scopul punitiv sau preventiv al sancțiunii pentru a defini natura încălcării, în opoziție cu un obiectiv pur reparator.
113. Or, în speță, după cum s‑a arătat mai sus(75), sancțiunile antidoping nu au ca obiect repararea prejudiciilor cauzate eventual de încălcările respective (sau nu doar acest lucru, dacă se ia în considerare prejudiciul cauzat comunității sportivilor), ci urmăresc, dimpotrivă, un scop punitiv care este de natură să le confere o calificare drept condamnare „penală” în sensul interpretării acestui al doilea criteriu de către jurisprudență, independent de caracterul general sau nu al textului aplicabil. De altfel, subliniem că Curtea de Arbitraj Sportiv (Elveția), instituție internațională care oferă un arbitraj sau o mediere în lumea sportului, recunoaște ea însăși, atunci când este cazul, natura „cvasipenală” a sancțiunilor antidoping(76).
114. În plus, anumite încălcări ale reglementării antidoping, cum ar fi, de exemplu, traficul de substanțe interzise, pot conduce la sancțiuni care intră atât sub incidența reglementării antidoping, cât și a legislației penale naționale. Desigur, Curtea de la Strasbourg a apreciat că faptul că anumite acte, care pot conduce la o sancțiune disciplinară, constituie totodată infracțiuni nu este suficient pentru a considera că o persoană responsabilă potrivit nomelor disciplinare este „acuzată” de săvârșirea unei infracțiuni(77). Totuși, în opinia noastră, acest lucru ar putea constitui un element care trebuie luat în considerare în cadrul celui de al doilea criteriu Engel.
115. În consecință, în pofida rezervelor exprimate, apreciem în acest stadiu că nu se poate exclude posibilitatea ca, având în vedere natura lor punitivă sau preventivă, anumite încălcări ale dispozițiilor antidoping să fie considerate ca fiind de natură penală în sensul articolului 10 din RGPD.
–       Gradul de severitate a sancțiunii
116. Acest al treilea criteriu Engel trebuie apreciat în funcție de pedeapsa maximă aplicabilă, prevăzută de dispozițiile relevante(78).
117. Or, acest grad de severitate variază în funcție de încălcarea reglementării antidoping săvârșită. De exemplu, durata suspendării aplicabile variază în funcție de încălcările reglementării antidoping în cauză. În mod similar, recidiva și intenția autorului pot avea de asemenea o influență în această privință(79).
118. Din cererea de decizie preliminară reiese că, în speță, poate fi vorba de „o interdicție multianuală sau pe viață de a participa la orice competiții (naționale și internaționale)”, ceea ce poate conduce, așadar, la o interdicție definitivă de exercitare a profesiei de sportiv.
119. Cu siguranță, nu este vorba de o pedeapsă privativă de libertate. Totuși, acest lucru nu este decisiv, întrucât „faptul că miza este mică nu poate lipsi o infracțiune de caracterul său penal intrinsec”(80). Mai mult, în funcție de durata suspendării, cariera de sportiv profesionist a persoanei vizate poate să înceteze, în special având în vedere vârsta persoanei în cauză și aspectul că, îndeosebi în anumite sporturi, cariera este relativ scurtă.
120. La această suspendare, care poate fi „pe viață”, se adaugă imposibilitatea practică de a găsi un loc de muncă în domeniul sportiv, ținând seama de interdicția privind asocierea cu o persoană suspendată pe toată durata suspendării sale.
121. În sfârșit, la consecințele economice și financiare suportate de persoana vizată se adaugă dezaprobarea societății și o stigmatizare atât în sfera publică, cât și în cea privată.
122. Rezultă de aici, în opinia noastră, că o asemenea sancțiune prezintă o gravitate susceptibilă să aibă efect echivalent unei condamnări penale în sensul articolului 10 din RGPD, dar revine instanței de trimitere să aprecieze acest aspect în fiecare caz în parte.
123. Prin urmare, în opinia noastră, ar trebui să se considere, în principiu, că încălcările și sancțiunile antidoping țin de domeniul disciplinar, cu excepția cazurilor în care sancțiunea este de o asemenea severitate încât intră în domeniul penal. O astfel de apreciere, care nu poate fi repusă în discuție numai pe baza calificării din dreptul intern, este în concordanță, de altfel, cu obiectivul punitiv și preventiv al sancțiunii care conferă o natură penală încălcării săvârșite. În acest context, considerăm că o suspendare pe viață a participării la orice competiție ar putea, așadar, să constituie o sancțiune care are un efect echivalent unei sancțiuni penale, de natură să atragă aplicabilitatea articolului 10 din RGPD.
124. În sfârșit, adăugăm că, în opinia noastră, argumentul NADA, care avertizează cu privire la consecințele pe care le‑ar implica, pentru toate colegiile profesionale, aplicarea articolului 10 din RGPD în cazul prelucrării de date referitoare la încălcări și sancțiuni disciplinare, nu este convingător. De fapt, nu este vorba aici de „incriminarea” în mod general și abstract a tuturor încălcărilor și sancțiunilor disciplinare. Analiza de mai sus a arătat că aprecierea trebuie efectuată în funcție de împrejurările fiecărui caz în parte și în vederea interpretării articolului 10 din RGPD care impune, în condițiile existenței unui „registru” de sancțiuni și încălcări care intră în domeniul său de aplicare, o protecție sporită. De altfel, temeiul juridic al prelucrării de date referitoare la asemenea încălcări și sancțiuni calificate drept „penale” poate consta de asemenea în legislația Uniunii sau a statelor membre, care prevede „garanții adecvate”.
Concluzie cu privire la a cincea întrebare
125. Apreciem că trebuie să se răspundă la a cincea întrebare că articolul 10 din RGPD trebuie interpretat în sensul că se poate aplica prelucrării datelor cu caracter personal referitoare la sancțiuni sau încălcări prevăzute de reglementarea națională antidoping, din moment ce, independent de calificarea acestor încălcări în dreptul intern, condamnările pe care le implică urmăresc o finalitate punitivă și prezintă un grad de severitate atât de ridicat încât au efect echivalent unei sancțiuni penale, aspect a cărui verificare este de competența instanței de trimitere.
Cu privire la a șasea întrebare
126. În cazul unui răspuns afirmativ la cea de a cincea întrebare, instanța de trimitere solicită să se stabilească dacă activitățile sau deciziile unei autorități care este însărcinată cu supravegherea prelucrării datelor cu caracter personal referitoare la condamnări penale și infracțiuni sau la măsuri de securitate conexe în sensul articolului 10 din RGPD sunt supuse controlului jurisdicțional.
127. În primul rând, precizăm că autoritatea în cauză este „autoritatea de stat” în sensul articolului 10 din RGPD, care nu poate fi confundată cu „autoritate de supraveghere” în sensul articolului 51 din RGPD(81). Să amintim totodată că prelucrarea de date cu caracter personal referitoare la condamnări penale și infracțiuni se efectuează numai sub controlul unei autorități de stat sau atunci când prelucrarea este autorizată de dreptul Uniunii sau de dreptul intern care prevede garanții adecvate pentru drepturile și libertățile persoanelor vizate(82). Prin urmare, răspunsul la această întrebare trebuie corelat cu răspunsurile la a treia și la a patra întrebare preliminară, examinate în continuare(83).
128. În al doilea rând, trebuie să se constate că RGPD nu conține o definiție a noțiunii de „autoritate de stat” sau de „control al unei autorități de stat” în sensul articolului 10 din acest regulament. În această privință, revine statelor membre să stabilească organismul care exercită controlul în calitate de „autoritate de stat” în cazul prelucrării de date cu caracter personal în sensul articolului 10 din RGPD. După cum arată Comisia, nu este exclus ca mai multe servicii să poată fi considerate ca atare și nu este vorba în mod necesar de „operator”.
129. În al treilea rând, este adevărat că textul articolului 10 din RGPD nu prevede ca atare un control jurisdicțional al activităților sau al deciziilor acestei „autorități de stat”. Acestea fiind spuse, interpretarea contextuală a dispoziției respective pledează în favoarea unui astfel de control dacă persoanele vizate intenționează să își valorifice drepturile. Astfel, asemenea mai multor părți interesate, considerăm că controlul actelor în materie de prelucrare a datelor cu caracter personal, inclusiv atunci când acest control este urmarea unei decizii a unei autorități de stat în sensul articolului 10 din RGPD, trebuie să fie conform cu articolul 79 alineatul (1) din RGPD, chiar dacă instanța de trimitere nu face referire la acesta în întrebarea sa. În temeiul dispoziției respective, fără a aduce atingere vreunei căi de atac administrative sau nejudiciare, inclusiv dreptului de a depune o plângere la o autoritate de supraveghere în temeiul articolului 77 din acest regulament, fiecare persoană vizată are dreptul de a exercita o cale de atac judiciară eficientă în cazul în care consideră că drepturile de care beneficiază în temeiul regulamentului menționat au fost încălcate ca urmare a prelucrării datelor sale cu caracter personal fără a se respecta același regulament. De altfel, după cum subliniază guvernul finlandez, existența însăși a unui control jurisdicțional efectiv destinat să asigure respectarea dreptului Uniunii este inerentă unui stat de drept.
130. În al patrulea rând, o asemenea interpretare este confirmată de obiectivul urmărit de articolul 10 din RGPD, și anume acela de a asigura o protecție sporită împotriva unor prelucrări care, din cauza caracterului deosebit de sensibil al datelor în discuție, sunt susceptibile să constituie o ingerință deosebit de gravă în drepturile fundamentale la respectarea vieții private și la protecția datelor cu caracter personal(84). O interpretare a articolului 10 din RGPD care ar exclude, a priori și în mod general, activitățile sau deciziile unei autorități de stat în sensul acestei dispoziții de orice control jurisdicțional ar contraveni scopurilor menționate.
131. În aceste condiții și în lipsa unor precizări suplimentare cu privire la activitățile sau deciziile autorității de stat în cauză, apreciem că este necesar să se răspundă la a șasea întrebare că articolul 10 din RGPD, citit în lumina articolului 79 alineatul (1) din acest regulament, trebuie interpretat în sensul că activitățile sau deciziile unei autorități căreia i‑a fost încredințat, în temeiul acestei dispoziții, controlul prelucrării datelor cu caracter personal referitoare la condamnări penale și infracțiuni sau la măsuri de securitate conexe trebuie să poată face obiectul unui control jurisdicțional.
Cu privire la a treia și la a patra întrebare
132. În cadrul acestor două întrebări, care pot fi examinate împreună, instanța de trimitere solicită în esență să se stabilească, în primul rând, dacă articolul 5 alineatul (1) literele (a) și (c) și articolul 6 alineatul (3) al doilea paragraf din RGPD pot fi interpretate în sensul că se opun unei obligații, impusă de legea națională organismelor naționale antidoping, de a publica datele cu caracter personal respective, și anume în special numele sportivilor sancționați pentru încălcarea reglementării antidoping, durata suspendării aplicate și motivele sale.
133. În al doilea rând, ea ridică problema dacă RGPD impune ca înainte de publicare să se realizeze o evaluare comparativă de la caz la caz de către operator a intereselor existente sau dacă este suficient controlul proporționalității prevăzut de legiuitor.
Cu privire la proporționalitatea publicării în cauză
134. Legiuitorul național a prevăzut, în cadrul ADBG, publicarea anumitor date (numele sportivului, durata și motivele suspendării), cu titlu gratuit(85), în atenția organizației federale a sportului, a organizațiilor sportive, a sportivilor, a altor persoane (personalul asistent), a organizatorilor de competiții, precum și a publicului larg, fără ca din acestea să poată fi deduse date despre sănătate. Se prevede totodată că publicarea informațiilor respective către publicul larg poate fi omisă numai în cazul în care persoana vizată este un sportiv amator, deosebit de vulnerabil (o persoană minoră) sau o persoană care, prin dezvăluirea de informații sau de alte indicii, a contribuit în mod substanțial la descoperirea unor încălcări potențiale ale reglementării antidoping. Dacă nu greșim, în acest caz, nici menționarea substanței eventual interzise în cauză, nici publicarea online pe internet nu sunt prevăzute în mod explicit de ADBG.
135. În practică, NADA și ÖADR au pus în aplicare această reglementare prin intermediul unei publicări pe internet în cazul sportivilor profesioniști, cu menționarea substanței eventual interzise în cauză în ceea ce privește publicarea de către ÖADR.
–       Observații introductive și amintirea principiilor
136. Să amintim că obiectivul urmărit de RGPD, astfel cum reiese din articolul 1, precum și din considerentele (1) și (10) ale acestuia, constă în special în asigurarea unui nivel ridicat de protecție a libertăților și drepturilor fundamentale ale persoanelor fizice, în special a dreptului lor la viață privată în ceea ce privește prelucrarea datelor cu caracter personal, consacrat la articolul 8 alineatul (1) din cartă și la articolul 16 alineatul (1) TFUE și strâns legat de dreptul la respectarea vieții private consacrat la articolul 7 din cartă.
137. În această privință, drepturile fundamentale la respectarea vieții private și la protecția datelor cu caracter personal, garantate la articolele 7 și 8 din cartă, nu sunt prerogative absolute. Astfel, pot fi impuse restrângeri, cu condiția ca, în conformitate cu articolul 52 alineatul (1) din cartă, acestea să fie prevăzute de lege și să respecte substanța drepturilor fundamentale, precum și principiul proporționalității(86).
138. În speță, publicarea datelor cu caracter personal ale sportivilor vizați este efectuată în temeiul unei obligații legale impuse operatorilor de legislația națională(87).
139. Prin urmare, se poate considera că această prelucrare de date intră sub incidența ipotezei vizate la articolul 6 alineatul (1) litera (c) din RGPD, care prevede că este legală prelucrarea care este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului. Ținând seama de faptul că combaterea dopajului ar putea fi considerată drept îndeplinire a unei sarcini care servește unui interes public(88), prelucrarea în cauză poate intra și sub incidența ipotezei vizate la articolul 6 alineatul (1) litera (e) din RGPD. Totuși, nu este necesar să se decidă care dintre aceste condiții de legalitate este aplicabilă în speță sau dacă ambele se aplică(89).
140. Articolul 6 alineatul (3) din RGPD precizează, în ceea ce privește aceste două ipoteze de legalitate a prelucrării, vizate la articolul 6 alineatul (1) literele (c) și (e) din RGPD, că prelucrarea menționată trebuie să se întemeieze pe dreptul Uniunii sau pe dreptul intern care se aplică operatorului și că acest temei juridic trebuie să urmărească un obiectiv de interes public și să fie proporțional cu obiectivul legitim urmărit.
141. De asemenea orice prelucrare a datelor cu caracter personal trebuie să fie conformă printre altele cu principiile enunțate la articolul 5 alineatul (1) din RGPD și în special cu principiile legalității și „reducerii la minimum a datelor”, care figurează la literele (a) și, respectiv, (c) ale acestei dispoziții. Potrivit principiului reducerii la minimum, datele cu caracter personal trebuie să fie adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate, ceea ce constituie expresia principiului proporționalității(90).
142. Prin urmare, întrebările adresate de instanța de trimitere implică necesitatea de a verifica dacă legislația națională, ca temei juridic al prelucrării în cauză, îndeplinește cerințele care decurg din aceste dispoziții, și anume dacă urmărește un obiectiv de interes public și este proporțională cu obiectivul legitim urmărit.
143. În speță, în cadrul combaterii dopajului în sport, care este cu siguranță un obiectiv de interes public, se adoptă sancțiuni pentru încălcările normelor antidoping. La aceasta se adaugă divulgarea către publicul larg a datelor cu caracter personal în cauză, care urmărește două obiective, la fel de legitime, evocate în ședință de părțile interesate și de guvernul austriac. Pe de o parte, este vorba de descurajarea încălcărilor de către sportivi a normelor antidoping, prevenind astfel dopajul în sport. Pe de altă parte, este vorba de evitarea eludării normelor antidoping prin informarea tuturor persoanelor care pot să sponsorizeze sau să angajeze sportivul în cauză despre faptul că acesta este suspendat(91).
144. Prin urmare, instanța de trimitere trebuie să verifice dacă reglementarea națională care prevede prelucrarea în cauză, astfel cum a fost pusă în aplicare de NADA și ÖADR, este adecvată pentru a contribui la realizarea obiectivelor de interes general pe care le urmărește, precum și necesară și proporțională în raport cu aceste obiective, Curtea fiind competentă să îi furnizeze elementele de interpretare utile.
–       Cu privire la aptitudinea publicării de a atinge obiectivele urmărite
145. În opinia noastră, publicarea datelor în cauză poate fi considerată fără prea mari dificultăți ca fiind aptă pentru atingerea celor două obiective urmărite.
146. Astfel, în primul rând, publicarea numelui sportivului sancționat, precum și a motivelor și a duratei suspendării sale informează publicul larg că dopajul nu rămâne nepedepsit și că acesta este însoțit nu doar de sancțiuni, ci și de publicarea nominală a sancțiunii suspendării. Acest lucru este de natură să determine publicul, inclusiv sportivii, profesioniști sau amatori, să se abțină de la încălcarea dispozițiilor antidoping și, prin urmare, urmărește un obiectiv de descurajare și de prevenire.
147. În al doilea rând, publicarea suspendării respective permite de asemenea informarea persoanelor care ar putea dori să angajeze sportivul vizat în orice calitate în domeniul sportului despre faptul că acesta este suspendat și că nu ar trebui să desfășoare activități sportive. Adăugăm că asocierea cu un sportiv suspendat constituie totodată o încălcare a reglementării antidoping(92). Prin urmare, o asemenea publicare poate să contribuie la evitarea săvârșirii unor astfel de încălcări din neștiință.
148. În schimb, nu vedem în ce mod menționarea substanței eventual interzise aflate în discuție, care nu este prevăzută în mod expres de legislația națională, dar este publicată de ÖADR, permite atingerea obiectivelor urmărite. Într‑adevăr, nici obiectivul de descurajare, nici cel de evitare a eludării dispozițiilor antidoping nu necesită să se detalieze atât de mult încălcarea constatată.
–       Cu privire la necesitatea publicării din perspectiva obiectivelor urmărite
149. În conformitate cu considerentul (39) al RGPD, verificarea necesității prelucrării în cauză în raport cu obiectivele urmărite implică să se verifice dacă nu există măsuri alternative care să afecteze mai puțin dreptul la respectarea vieții private și dreptul la protecția datelor cu caracter personal garantate la articolele 7 și 8 din cartă, dar la fel de eficiente pentru atingerea obiectivului invocat(93).
150. În primul rând, în ceea ce privește obiectivul de descurajare, considerăm că divulgarea către public a numelui sportivilor vizați nu este absolut necesară în toate cazurile.
151. Desigur, descurajarea este cu atât mai eficace dacă, îndeosebi în cazul unui sportiv celebru, sancțiunile sunt însoțite de divulgarea numelui său. Sportivii de nivel înalt și care se bucură de o anumită notorietate au o responsabilitate deosebită în această privință, divulgarea numelui lor putându‑se dovedi, așadar, cu atât mai pertinentă din perspectiva obiectivului urmărit.
152. Totuși, în cazul sportivilor profesioniști care nu intră sub incidența excepțiilor prevăzute de ADBG, legislația națională prevede o divulgare nominală automată, a cărei întindere devine nelimitată prin publicarea online(94), iar aceasta fără a ține seama de împrejurările concrete legate de situația individuală (notorietatea sportivului, nivelul competiției, recidiva, caracterul intenționat etc.). În această măsură, considerăm că, prin caracterul lor general, dispozițiile naționale respective pot depăși ceea ce este necesar pentru prevenirea dopajului prin descurajare.
153. În al doilea rând, în ceea ce privește obiectivul de împiedicare a eludării interdicției de a se asocia cu o persoană suspendată, acesta presupune să se știe despre care sportiv este vorba. Prin urmare, acest lucru face necesară divulgarea numelui persoanei suspendate. În această privință, din cererea de decizie preliminară reiese că, potrivit articolului 1 alineatul (2) punctul 8 din ADBG, poate constitui o încălcare a reglementării antidoping faptul că un sportiv are contact cu un membru al personalului asistent vizat de o interdicție sau de o sancțiune.
154. Cu toate acestea, considerăm că întinderea nelimitată a publicării, legată de publicarea online pe internet, depășește ceea ce este necesar(95).
155. Astfel, acest obiectiv de evitare a eludării normelor respective pare în esență să existe în lumea sportivă(96) și să se adreseze persoanelor însărcinate cu aplicarea sancțiunilor sau responsabile de organisme sportive sau de asociații sportive. O diseminare mai restrânsă a identității sportivului în cauză ar părea, în acest context, să atingă obiectivul într‑un mod eficient și care afectează mai puțin protecția datelor cu caracter personal. De altfel, NADA a arătat în ședință că, pentru anumite categorii de sportivi de nivel inferior, informarea despre suspendare se poate face prin intermediul federațiilor.
156. În ceea ce privește operatorii economici sau angajatorii din afara lumii sportive, o publicare mai limitată nu le‑ar permite, desigur, să afle că sportivul în cauză este suspendat și că le este interzis să se asocieze cu acesta. Totuși, în măsura în care unei asemenea persoane neinformate i se reproșează asocierea cu o persoană suspendată (un sportiv sau o altă persoană), considerăm că normele referitoare la sarcina probei ar permite, în acest caz, să se verifice dacă asocierea menționată a fost conștientă și intenționată sau nu(97). Invers, publicarea pe internet a suspendării, însoțită de numele persoanei suspendate în cauză, în opinia noastră ar conduce în final la punerea în sarcina fiecărei persoane a responsabilității de a verifica dacă persoana cu care încheie un contract sau se asociază este sau nu suspendată. Considerăm că această suspiciune generalizată, indusă de publicarea online a „cazierului sportiv”, depășește obiectivul urmărit.
157. Adăugăm că alegerea unei publicări online de către NADA și ÖADR este de natură să aducă atingere și mai mult dreptului la viață privată, în special având în vedere întinderea sa urbi et orbi(98). Aceasta este și opinia Grupului de lucru instituit în temeiul articolului 29, care subliniază riscul utilizării în alte scopuri sau riscul prelucrării ulterioare a datelor publicate online, mai intruzive(99).
158. Considerăm că o publicare nominală, dar limitată la organismele pertinente și la federațiile sportive, care să fie însoțită, de exemplu, de o publicare pe internet sub pseudonim, ar permite atingerea celor două obiective urmărite într‑un mod care afectează mai puțin protecția datelor cu caracter personal și mai conform cu principiul reducerii la minimum a datelor.
159. Adăugăm că argumentul invocat de NADA, întemeiat pe comparația cu publicarea sancțiunilor în cadrul altor profesii, precum cea de avocat sau cele din domeniul sănătății, nu ne convinge. Astfel, după cum arată în această privință guvernul neerlandez, publicarea numelor avocaților sau medicilor suspendați pare necesară întrucât oricine poate fi un justițiabil sau un pacient, în timp ce, în materie de dopaj, este suficient ca numele sportivului vizat să fie cunoscut în mediul sportiv, de federațiile sportive respective, cu excepția unor ipoteze particulare care trebuie apreciate de la caz la caz.
160. În consecință, avem îndoieli serioase în legătură cu necesitatea prelucrării în cauză în raport cu obiectivele urmărite.
–       Cu privire la proporționalitatea „stricto sensu”, și anume evaluarea comparativă a intereselor existente
161. Pentru a aprecia proporționalitatea prelucrării în discuție, trebuie să se efectueze o evaluare comparativă a diferitelor drepturi, libertăți sau interese aflate în joc. Astfel, un obiectiv de interes general nu poate fi urmărit fără a ține seama de faptul că trebuie conciliat cu drepturile fundamentale avute în vedere, ceea ce implică, în speță, realizarea unei ponderări echilibrate între, pe de o parte, obiectivul de interes general urmărit și, pe de altă parte, drepturile persoanei ale cărei date cu caracter personal sunt divulgate(100).
162. Adăugăm că, în cadrul acestei analize, trebuie să se țină seama de răspunsurile care vor fi date de către Curte la a doua întrebare preliminară privind existența unor date despre sănătate în sensul articolului 9 din RGPD și la a cincea întrebare preliminară privind datele referitoare la condamnări penale sau infracțiuni, care intră sub incidența articolului 10 din RGPD. Într‑adevăr, respectarea principiului „reducerii la minimum” a datelor sensibile în sensul articolului 9 din RGPD nu se opune comunicării către public a datelor cu caracter personal atunci când această comunicare este necesară și proporțională(101). Același lucru este valabil în situația în care datele în cauză intră sub incidența articolului 10 din RGPD, cu condiția ca legislația care autorizează comunicarea respectivă să prevadă garanții corespunzătoare pentru drepturile și libertățile persoanelor vizate(102). Acestea fiind spuse, în ceea ce privește datele care intră sub incidența acestor două dispoziții, interesele persoanelor vizate dobândesc o importanță deosebită în contextul realizării unei evaluări comparative a intereselor existente(103).
163. În speță, prelucrarea în discuție, care include publicarea online a identității sportivului vizat, constituie o ingerință importantă în drepturile fundamentale la respectarea vieții private și la protecția datelor cu caracter personal și este de natură să provoace dezaprobarea societății și să determine stigmatizarea persoanei respective. De altfel, acesta este efectul de „stâlp electronic al infamiei” urmărit în cazul de față.
164. Astfel, gravitatea ingerinței menționate trebuie pusă în balanță cu importanța obiectivelor urmărite prin publicare.
165. Observăm că întrebarea instanței de trimitere se referă la publicarea prevăzută de ADBG, astfel cum a fost pusă în aplicare de NADA și ÖADR, pentru sportivii profesioniști care nu intră sub incidența excepțiilor prevăzute (care privesc sportivii amatori, persoanele vulnerabile și „avertizorii”). Publicarea în privința lor constă într‑o publicare nominală, care este în același timp nelimitată ca întindere, întrucât este difuzată prin internet către publicul larg, nelimitată uneori ca durată în cazul suspendării pe viață (care îl privește pe unul dintre reclamanții din litigiul principal), sistematică și automată, care nu implică, potrivit ADBG, nicio apreciere individuală în funcție de împrejurări.
166. Cu toată prudența pe care o impune întotdeauna această dimensiune a controlului proporționalității(104), tindem să considerăm că combinarea acestor diferite elemente (caracterul nominativ, nelimitat, sistematic și automat al publicării) poate conduce, în anumite împrejurări, la o ingerință în dreptul la protecția datelor cu caracter personal al persoanelor în cauză, astfel încât nu îndeplinește cerința realizării unui just echilibru între diferitele interese existente.
167. De exemplu, în cazul unei sancțiuni de suspendare de lungă durată(105) sau chiar pe viață a unui sportiv puțin cunoscut, a cărui viață sportivă profesională s‑a încheiat cu ceva timp în urmă, s‑ar putea considera că publicarea legală a datelor sale cu caracter personal devine, în timp, excesivă în raport cu scopurile urmărite.
168. NADA susține că nu trebuie să se facă nicio diferențiere în funcție de gravitatea sau de caracterul repetat al încălcărilor săvârșite, pentru motivul că acest lucru este luat în considerare în etapa sancționării și nu afectează publicarea, care trebuie să aibă loc independent de împrejurări. Acest argument nu ne convinge. Astfel, publicarea servește unor obiective care, deși se înscriu în cadrul luptei antidoping, sunt specifice și implică o evaluare comparativă a intereselor existente care să permită luarea în considerare a cerințelor RGPD, neavute în vedere în etapa sancțiunii antidoping.
169. Prin urmare, în opinia noastră, o obligație de publicare a datelor cu caracter personal, precum cea care rezultă din ADBG și pusă în aplicare de ÖADR și NADA, este admisibilă doar în măsura în care, având în vedere obiectivele urmărite de descurajare și de evitare a eludării normelor antidoping, rămâne proporțională, în special în materie de întindere și de durată a publicării, ținând seama de împrejurările specifice în cauză, aspect a cărui verificare este de competența instanței de trimitere.
Cu privire la momentul evaluării comparative
170. Instanța de trimitere solicită să se stabilească dacă RGPD impune ca, înainte de publicare, operatorul să efectueze o evaluare comparativă de la caz la caz a intereselor existente sau dacă este suficient controlul de proporționalitate prevăzut de legiuitor.
171. În speță, legiuitorul a avut în vedere situații predefinite independent de împrejurările specifice fiecărui caz în parte, făcând referire la elementele publicării și prevăzând totuși anumite excepții. Procedând astfel, acesta a stabilit deja un cadru pentru publicare și a efectuat o anumită evaluare comparativă a interesului sportivilor ale căror date cu caracter personal sunt divulgate, pe de o parte, și a intereselor legate de lupta antidoping, pe de altă parte.
172. Totuși, observăm că, în calitate de operatori desemnați de legiuitorul național, organismele naționale antidoping în cauză (în speță, NADA și ÖADR) rămân, în temeiul articolului 5 alineatul (2) din RGPD, însărcinate cu punerea în aplicare a prelucrării și responsabile („accountable”) de respectarea principiilor legalității și proporționalității acestei prelucrări, precum și de respectarea principiului reducerii la minimum a datelor. De altfel, ele trebuie să fie în măsură să demonstreze că alineatul (1) al acestei dispoziții este respectat.
173. De asemenea, potrivit articolului 24 alineatul (1) și articolului 25 alineatul (1) din RGPD, acestea trebuie să pună în aplicare măsuri tehnice și organizatorice adecvate (cum ar fi pseudonimizarea), atât în momentul stabilirii mijloacelor de prelucrare, cât și în cel al prelucrării în sine. Aceste măsuri, care trebuie revizuite și actualizate dacă este necesar, sunt destinate să pună în aplicare în mod eficient principiile de protecție a datelor și să integreze garanțiile necesare în cadrul prelucrării, pentru a îndeplini cerințele RGPD și a proteja drepturile persoanelor vizate(106).
174. De altfel, observăm că, în speță, chiar dacă legiuitorul a stabilit scopurile prelucrării, precum și, în parte, mijloacele acestei prelucrări, NADA și ÖADR sunt cele care, în calitate de operatori și organisme însărcinate cu punerea sa în practică, au optat pentru publicarea pe internet, ÖADR optând totodată pentru publicarea denumirii substanței eventual interzise în cauză.
175. În acest context, considerăm că răspunsul la întrebarea adresată este legat de conținutul și de gradul de precizie a legii naționale aplicabile operatorului. În opinia noastră, faptul că legiuitorul național a prevăzut principiul publicării nu exonerează operatorul de responsabilitatea sa de a respecta cerințele RGPD și de a proteja drepturile persoanelor vizate. Acest lucru poate implica din partea sa, în contextul aplicării legislației naționale, luarea în considerare a împrejurărilor specifice fiecărui caz în parte(107). De altfel, observăm că în speță el trebuie să efectueze această evaluare comparativă de la caz la caz pentru publicările de date privind sportivii suspendați care intră sub incidența excepțiilor menționate în ADBG.
176. Prin urmare, apreciem că dispozițiile sus‑menționate din RGPD, deși nu impun acest lucru în toate cazurile, pot implica efectuarea de către operator a unei evaluări comparative de la caz la caz a intereselor existente în special atunci când stabilește mijloacele de prelucrare, deci inclusiv înainte de publicare. În această privință, ar putea fi luate în considerare elemente care țin de natura, de întinderea, de contextul și de scopurile prelucrării, precum și de riscurile, al căror grad de probabilitate și gravitate poate varia, pentru drepturile și libertățile persoanelor menționate.
177. Nici argumentul potrivit căruia o asemenea marjă de apreciere a operatorului riscă să conducă la o discriminare între sportivii care se află în situații comparabile, nici riscul de arbitrar, de abuz sau chiar de corupție, evocate în special de Comisie și de NADA, nu pot justifica renunțarea la o astfel de evaluare comparativă de la caz la caz, destinată să permită prelucrarea datelor cu caracter personal în concordanță cu RGPD. Astfel, o asemenea evaluare comparativă poate tocmai să evite discriminarea care ar putea rezulta din aplicarea unui tratament identic în cazul unor situații diferite.
178. Rezultă, în opinia noastră, că articolele 5 și 6 din RGPD, citite în lumina tuturor obligațiilor și responsabilităților care revin operatorului, trebuie interpretate în sensul că nu se opun unei evaluări comparative de la caz la caz a intereselor existente, efectuată de către operator, înainte de această prelucrare de date sau chiar, în anumite împrejurări, în sensul că impun o astfel de evaluare comparativă dacă este necesară pentru prelucrarea datelor cu caracter personal în concordanță cu RGPD.
Concluzii cu privire la a treia și la a patra întrebare
179. Având în vedere cele de mai sus, propunem Curții să răspundă la a treia întrebare că articolul 5 alineatul (1) literele (a) și (c) și articolul 6 alineatul (3) al doilea paragraf din RGPD trebuie interpretate în sensul că se opun unei obligații, impusă organismelor naționale antidoping, de a publica date cu caracter personal, precum numele sportivilor sancționați pentru încălcarea reglementării antidoping, durata suspendării aplicate și motivele sale (în special denumirea substanței interzise) atunci când, ținând seama de împrejurările specifice în cauză, cerința proporționalității nu este sau nu mai este îndeplinită, îndeosebi în materie de întindere și de durată a publicării, aspect a cărui verificare este de competența instanței de trimitere.
180. În ceea ce privește a patra întrebare, propunem Curții să considere că articolele 5 și 6 din RGPD, citite în lumina tuturor obligațiilor și responsabilităților care revin operatorului, trebuie interpretate în sensul că impun ca acesta din urmă să efectueze, înainte de prelucrarea datelor, o evaluare comparativă de la caz la caz a intereselor existente dacă acest lucru este necesar pentru prelucrarea datelor cu caracter personal în concordanță cu RGPD.
Cu privire la a șaptea întrebare
181. Pentru a înțelege a șaptea întrebare, trebuie amintit contextul în care este adresată. Reclamanta YT, chiar înainte ca datele sale cu caracter personal să fi fost publicate pe site‑urile internet ale NADA și ÖADR, a depus o plângere la autoritatea austriacă pentru protecția datelor în temeiul articolului 17 din RGPD care prevede dreptul la ștergerea datelor. Această din urmă autoritate a respins plângerea lui YT, întrucât datele în cauză nu erau încă publicate. Publicarea acestor date a intervenit ulterior în cursul exercitării căii de atac împotriva respingerii plângerii sale de către autoritatea austriacă pentru protecția datelor.
182. Prin intermediul celei de a șaptea întrebări, instanța de trimitere solicită, în primul rând, să se stabilească dacă plângerea, depusă în temeiul articolului 77 din RGPD prin care se invocă o încălcare a dreptului la ștergerea datelor (articolul 17 din RGPD), este admisibilă în condițiile în care nu avusese încă loc prelucrarea datelor cu caracter personal ale persoanei vizate la momentul depunerii plângerii sale la autoritatea de supraveghere și al deciziei acesteia din urmă.
183. În al doilea rând, ea ridică problema admisibilității unei astfel de plângeri a posteriori dacă la depunerea plângerii existau deja indicii concrete că prelucrarea datelor cu caracter personal de către operator era iminentă sau că urma să aibă loc în viitorul apropriat.
Este admisibilă plângerea adresată autorității de supraveghere înainte de prelucrarea datelor?
184. Articolul 77 alineatul (1) din RGPD prevede că orice persoană vizată are dreptul de a depune o plângere la o autoritate de supraveghere „în cazul în care consideră că prelucrarea datelor cu caracter personal care o vizează încalcă prezentul regulament“.
185. În conformitate cu o jurisprudență constantă a Curții, în vederea interpretării dispoziției respective, vom ține seama nu numai de termenii acesteia, ci și de contextul său și de obiectivele urmărite de reglementarea din care face parte(108).
186. În primul rând, textul articolului 77 din RGPD nu impune un termen pentru depunerea unei plângeri privind prelucrarea datelor cu caracter personal. În cazurile în care prelucrarea a avut loc și este apoi contestată, cu cât plângerea este depusă mai devreme, cu atât controlul exercitat de către autoritate poate avea loc mai rapid și cu atât mai devreme se poate asigura protecția persoanei vizate(109). În schimb, textul articolului 77 alineatul (1) din RGPD nu prevede ipoteza în care prelucrarea nu a avut încă loc. Subliniem, în această privință, că dispoziția respectivă utilizează termenul „încalcă” la timpul prezent, ceea ce pare să implice că prelucrarea trebuie să fi avut deja loc, dar că ipoteza unei prelucrări viitoare nu este, ca atare, exclusă(110).
187. În al doilea rând, ca elemente de context, este necesar să se menționeze atribuțiile și competențele autorităților de supraveghere. În această privință, în temeiul articolului 57 alineatul (1) litera (f) din RGPD, fiecare autoritate de supraveghere este obligată să trateze plângerile depuse de orice persoană vizată, să investigheze într‑o măsură adecvată obiectul plângerii și să informeze reclamantul cu privire la evoluția și rezultatul investigației, într‑un termen rezonabil. Autoritatea de supraveghere trebuie astfel să soluționeze o asemenea plângere „cu toată diligența necesară“(111).
188. În plus, articolul 58 alineatul (1) din RGPD conferă fiecărei autorități de supraveghere competențe importante de investigare în vederea soluționării plângerilor depuse. Atunci când o asemenea autoritate constată, la finalul investigației sale, o încălcare a dispozițiilor acestui regulament, ea este obligată să reacționeze în mod corespunzător pentru a remedia insuficiența constatată. Astfel, articolul 58 alineatul (2) din RGPD enumeră diferitele măsuri corective care pot fi adoptate de autoritatea de supraveghere, aceasta dispunând în acest scop de o marjă de apreciere în ceea ce privește alegerea mijloacelor adecvate și necesare(112). Printre competențele autorității de supraveghere prevăzute la articolul 58 alineatul (2) litera (a) din RGPD, se numără faptul că poate „emite avertizări” în atenția unui operator cu privire la „posibilitatea” ca operațiunile „prevăzute” să încalce dispozițiile RGPD, ceea ce corespunde unei abordări care poate fi calificată drept „conservatorie” în legătură cu drepturile persoanei vizate(113).
189. Toate aceste cerințe și competențe ale autorităților de supraveghere au ca scop consolidarea procedurii privind plângerile pentru a face din aceasta un mecanism adecvat pentru a proteja în mod eficient drepturile și interesele persoanelor vizate, și anume „o veritabilă cale de atac administrativă”(114).
190. Să menționăm totodată, ca element de context, faptul că, după cum a subliniat Comisia, operatorul trebuie să îndeplinească anumite obligații și, în special, să informeze persoana vizată înainte de a efectua prelucrarea(115).
191. Prin urmare, considerăm că o abordare conservatorie sau preventivă din partea autorităților de supraveghere în cadrul prelucrării plângerilor nu poate fi exclusă, a priori, în contextul RGPD.
192. În al treilea rând, această interpretare este confirmată de obiectivele urmărite de regulamentul respectiv. Într‑adevăr, din considerentul (10) al acestuia reiese în special că el urmărește să asigure un nivel ridicat de protecție a persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal în cadrul Uniunii. În plus, potrivit considerentului (11) al regulamentului menționat, protecția efectivă a acestor date necesită consolidarea drepturilor persoanelor vizate.
193. Or, restrângerea obligației care revine autorităților de supraveghere de a trata plângerile, în temeiul articolului 57 alineatul (1) litera (f) din RGPD, prin interpretarea articolului 77 alineatul (1) din acest regulament în sensul că exclude orice posibilitate de a depune plângere la o autoritate de supraveghere „în vederea unei prelucrări”, ar putea fi în contradicție cu obiectivele urmărite de regulamentul menționat, în special cu cel de a asigura un nivel ridicat de protecție a persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal în cadrul Uniunii.
194. Prin urmare, având în vedere toate aceste considerații, apreciem că nu se poate exclude posibilitatea ca o plângere depusă în temeiul articolului 77 din RGPD să poată fi admisibilă, în pofida faptului că prelucrarea datelor cu caracter personal ale persoanei vizate nu a avut loc încă la momentul depunerii plângerii sale la autoritatea de supraveghere.
195. Considerăm însă, asemenea Comisiei și guvernului austriac, că presupusa încălcare a RGPD trebuie să se preteze la aceasta, iar prelucrarea vizată, care este, în speță, publicarea datelor cu caracter personal, să nu aibă un caracter pur ipotetic(116).
196. În speță, Curtea este sesizată cu o cerere, întemeiată pe articolul 17 din RGPD, care are ca obiect o plângere pentru ștergerea datelor în cauză, reclamanta din litigiul principal vizată (YT) precizând în această privință că publicarea datelor sale era „aproape sigur iminentă”.
197. Or, o plângere prin care se solicită ștergerea acestor date (la fel ca o cerere de rectificare a datelor) presupune, prin ipoteză, ca prelucrarea în cauză, în speță publicarea datelor, să fi avut loc. Pare într‑adevăr imposibil ca operatorul să dea curs unei astfel de plângeri și să șteargă datele dacă ele nu au fost încă divulgate, cu excepția cazului în care se interpretează această plângere în sensul că urmărește în realitate să împiedice publicarea datelor menționate(117) (iar nu să le șteargă), aspect a cărui apreciere revine instanței de trimitere.
198. Adăugăm că o asemenea interpretare nu contravine obiectivelor legate de garantarea unui nivel ridicat de protecție a datelor cu caracter personal, din moment ce alte dispoziții din RGPD permit să se răspundă la cererile privind o prelucrare viitoare. Astfel, după cum arată guvernul austriac, articolul 79 alineatul (1) din RGPD, referitor la dreptul la o cale de atac jurisdicțională efectivă, implică existența, în dreptul național, a unor acțiuni procedurale în cazul unei amenințări de atingere ilegală iminentă adusă drepturilor conferite de RGPD. În dreptul austriac, acest lucru include posibilitatea de a introduce acțiuni în încetare preventive înainte de începerea prelucrării sau chiar, în cazul în care a început prelucrarea, posibilitatea de a solicita autorității austriece să controleze restricționarea acestei prelucrări în temeiul articolului 18 din RGPD.
199. În consecință, considerăm că nu se poate exclude posibilitatea ca o plângere depusă în temeiul articolului 77 din RGPD să fie admisibilă, în pofida faptului că prelucrarea datelor cu caracter personal ale persoanei vizate nu a avut încă loc la momentul depunerii plângerii sale la autoritatea de supraveghere, dar nu are un caracter pur ipotetic. Totuși, în împrejurările din litigiul principal, plângerea în discuție, întemeiată pe dreptul la ștergerea datelor prevăzut la articolul 17 din RGPD, nu este admisibilă din moment ce privește o prelucrare (în speță, publicarea datelor cu caracter personal ale persoanei vizate) care, chiar dacă era iminentă, nu exista nici la momentul depunerii plângerii acestei persoane în fața autorității de supraveghere, nici la momentul adoptării deciziei autorității de supraveghere respective.
Plângerea adresată autorității de supraveghere devine admisibilă „a posteriori”?
200. Observăm că această întrebare privește interpretarea articolului 77 din RGPD, referitor la dreptul de a depune o plângere la autoritatea de supraveghere. Prin urmare, se pare că instanța de trimitere ridică problema dacă o astfel de plângere, declarată inadmisibilă, ar putea deveni admisibilă a posteriori în fața autorității de supraveghere dacă prelucrarea în cauză (în speță, divulgarea datelor) are loc în timp ce o cale de atac exercitată împotriva deciziei acestei autorități de supraveghere este pendinte în fața instanței de apel. Considerăm că, în această privință, revine ordinii juridice interne să regleze aspectul dacă instanța de apel ar putea sau chiar ar trebui, într‑o asemenea situație, să trimită întrebarea autorității de supraveghere spre reexaminare din perspectiva noilor elemente de fapt, dacă revine persoanei vizate sarcina să reintroducă o plângere sau dacă instanța de apel se poate pronunța ea însăși asupra situației cu care este sesizată ținând seama de noile elemente de fapt care constau în speță în publicarea datelor. Trebuie să se asigure în această privință protecția eficientă a drepturilor garantate de RGPD și aplicarea coerentă și omogenă a dispozițiilor sale.
201. În măsura în care trebuie să înțelegem întrebarea instanței de trimitere, la fel ca guvernul austriac, în sensul că se referă la admisibilitatea unei astfel de plângeri în fața instanței sesizate cu apel, este vorba în acest caz de examinarea consecințelor efectelor legate de o modificare a situației de fapt, și anume a prelucrării care constă în publicarea datelor cu caracter personal, intervenită după decizia autorității de supraveghere și în condițiile în care o cale de atac jurisdicțională, exercitată în temeiul articolului 78 din RGPD, este pendinte împotriva acestei decizii, în ipoteza în care existau, la momentul plângerii, indicii concrete în sensul că o prelucrare de date cu caracter personal de către operator era iminentă sau urma să aibă loc în viitorul apropiat.
202. Trebuie amintit că legiuitorul Uniunii a intervenit, în cadrul RGPD, pentru a oferi diferite căi de atac persoanelor care invocă o încălcare a acestui regulament, fiind de la sine înțeles că fiecare dintre căile de atac respective trebuie să poată fi exercitată „fără a aduce atingere” celorlalte căi de atac(118).
203. Astfel, articolul 78 alineatul (1) din RGPD prevede că, fără a aduce atingere oricăror alte căi de atac administrative sau nejudiciare, fiecare persoană fizică sau juridică are dreptul de a exercita o cale de atac judiciară eficientă împotriva unei decizii obligatorii din punct de vedere juridic a unei autorități de supraveghere care o vizează. Rezultă că instanțele sesizate cu o cale de atac împotriva unei decizii a unei autorități de supraveghere ar trebui să dispună de o competență deplină, în special de cea de a examina toate aspectele de fapt și de drept referitoare la litigiul cu care sunt sesizate(119). Prin urmare, controlul jurisdicțional exercitat asupra unei decizii adoptate de o autoritate de supraveghere cu privire la o plângere, pentru a fi „eficient”, astfel cum impune această dispoziție, este complet(120). Articolul 79 alineatul (1) din acest regulament garantează fiecărei persoane vizate dreptul la o cale de atac judiciară eficientă, „fără a aduce atingere vreunei căi de atac administrative sau nejudiciare disponibile, inclusiv dreptului de a depune o plângere la o autoritate de supraveghere în temeiul articolului 77”.
204. Desigur, s‑a constatat deja că, prin adoptarea RGPD, legiuitorul Uniunii nu a intenționat să realizeze o armonizare exhaustivă a căilor de atac disponibile în cazul încălcării dispozițiilor RGPD, prevăzute la articolele 77-79 din acest regulament(121). În special, atunci când sunt introduse o plângere la o autoritate de supraveghere și căi de atac jurisdicționale în cadrul aceluiași stat membru cu privire la aceeași prelucrare de date cu caracter personal, RGPD nu prevede dispoziții speciale.
205. Totuși, deși nu a avut intenția de a realiza o armonizare exhaustivă în această privință, legiuitorul Uniunii nu a dorit nici să excludă posibilitatea menționată în întrebarea adresată de instanța de trimitere, și anume aceea de a declara admisibilitatea a posteriori a unei plângeri depuse în împrejurări precum cele din litigiul principal.
206. Prin urmare, în lipsa unei reglementări a Uniunii în materie, revine fiecărui stat membru, în temeiul principiului autonomiei procedurale a statelor membre, atribuția de a stabili modalitățile procedurii administrative și pe cele ale procedurii jurisdicționale destinate să asigure un nivel ridicat de protecție a drepturilor conferite justițiabililor de dreptul Uniunii. În acest context, revine instanței naționale sarcina de a asigura efectivitatea protecției drepturilor garantate de RGPD, aplicarea coerentă și omogenă a dispozițiilor acestui din urmă regulament, precum și dreptul la o cale de atac efectivă în fața unei instanțe judecătorești, vizat la articolul 47 din cartă(122).
207. Prin urmare, este de competența instanței naționale să stabilească, pe baza dispozițiilor procedurale naționale, modul în care căile de atac prevăzute de reglementarea națională trebuie să fie aplicate în fiecare caz în parte. În această privință, ea trebuie să se asigure că modalitățile concrete de exercitare a căilor de atac nu afectează în mod disproporționat dreptul la o cale de atac efectivă în fața unei instanțe judecătorești. De asemenea este necesar să se asigure efectivitatea protecției drepturilor garantate de RGPD și faptul că aceste modalități respectă principiile efectivității și echivalenței(123).
208. În lipsa unei precizări din partea instanței de trimitere cu privire la posibilitățile oferite de dreptul său național, este necesar, prin urmare, în opinia noastră, să se constate că articolul 77 alineatul (1) din RGPD, examinat din perspectiva articolului 78 alineatul (1) din acest regulament, trebuie interpretat în sensul că nu se opune admisibilității unei plângeri respinse anterior ca inadmisibilă de către autoritatea de supraveghere, atunci când prelucrarea datelor are loc în timp ce o procedură judiciară referitoare la aceleași fapte este pendinte în fața instanței. Revine ordinii juridice interne să regleze, cu respectarea principiilor echivalenței și efectivității, condițiile unei astfel de admisibilități, atât în fața autorității de supraveghere, cât și în fața instanței, astfel încât să asigure efectivitatea protecției drepturilor garantate de RGPD, aplicarea coerentă și omogenă a dispozițiilor sale, precum și dreptul la o cale de atac efectivă în fața unei instanțe judecătorești.
Concluzie cu privire la a șaptea întrebare
209. Ținând seama de ansamblul considerațiilor care precedă, propunem Curții să răspundă la a șaptea întrebare că articolul 77 din RGPD trebuie interpretat în sensul că o plângere întemeiată pe articolul 17 din acest regulament (invocarea unei încălcări a dreptului la ștergerea datelor) nu este admisibilă în măsura în care privește o prelucrare legată de publicarea datelor cu caracter personal ale persoanei vizate care, chiar dacă este iminentă, nu exista nici la momentul depunerii plângerii de către această persoană la autoritatea de supraveghere, nici la momentul adoptării deciziei acestei autorități, fără a aduce însă atingere eventualei admisibilități a unei plângeri care ar viza o prelucrare de date cu caracter personal care nu este pur ipotetică și care se pretează la o acțiune preventivă sau conservatorie a autorității de supraveghere.
210. În plus, examinat în lumina articolului 78 alineatul (1) din RGPD, articolul 77 din acest regulament nu se opune admisibilității unei plângeri respinse anterior ca inadmisibilă de către autoritatea de supraveghere, atunci când prelucrarea de date are loc în timp ce o procedură judiciară referitoare la aceleași fapte este pendinte în fața instanței. Revine ordinii juridice interne să regleze, cu respectarea principiilor echivalenței și efectivității, condițiile unei astfel de admisibilități, atât în fața autorității de supraveghere, cât și în fața instanței, astfel încât să asigure efectivitatea protecției drepturilor garantate de RGPD, aplicarea coerentă și omogenă a dispozițiilor sale, precum și dreptul la o cale de atac efectivă în fața unei instanțe judecătorești.
Concluzie
211. Având în vedere cele de mai sus, propunem Curții să răspundă la întrebările preliminare adresate de Bundesverwaltungsgericht (Tribunalul Administrativ Federal, Austria) după cum urmează:
1)      Articolul 16 alineatul (2) prima teză TFUE și articolul 2 alineatul (2) litera (a) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE
trebuie interpretate în sensul că
prelucrările datelor cu caracter personal care constau, în temeiul dispozițiilor naționale antidoping, în publicarea numelui sportivilor vizați, a disciplinei sportive practicate, a încălcării dispozițiilor antidoping săvârșite, a sancțiunii aplicate, precum și a datei de început și de sfârșit a acestei sancțiuni nu pot fi considerate ca fiind efectuate în cadrul unei „activități care nu intră sub incidența dreptului Uniunii”, în sensul articolului 2 alineatul (2) litera (a) din Regulamentul 2016/679.
2)      Articolul 9 alineatul (1) din Regulamentul 2016/679
trebuie interpretat în sensul că
nu constituie o prelucrare de date privind sănătatea, în sensul acestei dispoziții, faptul de a divulga numele sportivului în cauză, durata suspendării sale și motivele suspendării respective, cu excepția cazului în care aceste motive includ denumirea substanței sau a substanțelor interzise a căror prezență a fost detectată în organismul sportivului în cauză, din moment ce indiciul menționat este de natură să dezvăluie, chiar și indirect, informații despre starea de sănătate, chiar și viitoare, a sportivului vizat, aspect a cărui verificare este de competența instanței de trimitere.
3)      Articolul 5 alineatul (1) literele (a) și (c) și articolul 6 alineatul (3) al doilea paragraf din Regulamentul 2016/679
trebuie interpretate în sensul că
se opun unei obligații impuse organismelor naționale antidoping de a publica date cu caracter personal, precum numele sportivilor sancționați pentru încălcarea reglementării antidoping, durata suspendării aplicate și motivele sale (în special denumirea substanței interzise), atunci când, ținând seama de împrejurările specifice în cauză, cerința proporționalității nu este sau nu mai este îndeplinită, îndeosebi în materie de întindere și de durată a publicării, aspect a cărui verificare este de competența instanței de trimitere.
4)      Articolele 5 și 6 din Regulamentul 2016/679, citite în lumina tuturor obligațiilor și responsabilităților care revin operatorului,
trebuie interpretate în sensul că
impun ca acesta din urmă să efectueze, înainte de prelucrarea datelor, o evaluare comparativă de la caz la caz a intereselor existente dacă acest lucru este necesar pentru prelucrarea datelor cu caracter personal în concordanță cu Regulamentul 2016/679.
5)      Articolul 10 din Regulamentul 2016/679
trebuie interpretat în sensul că
se poate aplica prelucrării datelor cu caracter personal referitoare la sancțiuni sau încălcări prevăzute de reglementarea națională antidoping, din moment ce, independent de calificarea acestor încălcări în dreptul intern, condamnările pe care le implică urmăresc o finalitate punitivă și prezintă un grad de severitate atât de ridicat încât au efect echivalent unei sancțiuni penale, aspect a cărui verificare este de competența instanței de trimitere.
6)      Articolul 10 din Regulamentul 2016/679, citit în lumina articolului 79 alineatul (1) din acestui regulament,
trebuie interpretat în sensul că
activitățile sau deciziile unei autorități căreia i‑a fost încredințat, în temeiul acestei dispoziții, controlul prelucrării datelor cu caracter personal referitoare la condamnări penale și infracțiuni sau la măsuri de securitate conexe trebuie să poată face obiectul unui control jurisdicțional.
7)      Articolul 77 din Regulamentul 2016/679
trebuie interpretat în sensul că:
–        o plângere întemeiată pe articolul 17 din acest regulament (invocarea unei încălcări a dreptului la ștergerea datelor) nu este admisibilă în măsura în care privește o prelucrare legată de publicarea datelor cu caracter personal ale persoanei vizate care, chiar dacă era iminentă, nu exista nici la momentul depunerii plângerii de către această persoană la autoritatea de supraveghere, nici la momentul adoptării deciziei acestei autorități, fără a aduce însă atingere eventualei admisibilități a unei plângeri care ar viza o prelucrare de date cu caracter personal care nu este pur ipotetică și care se pretează la o acțiune preventivă sau conservatorie a autorității de supraveghere;
–        examinat din perspectiva articolului 78 alineatul (1) din Regulamentul 2016/679, nu se opune admisibilității unei plângeri respinse anterior ca inadmisibilă de către autoritatea de supraveghere, atunci când prelucrarea datelor are loc în timp ce o procedură judiciară referitoare la aceleași fapte este pendinte în fața instanței. Revine ordinii juridice interne să regleze, cu respectarea principiilor echivalenței și efectivității, condițiile unei astfel de admisibilități, atât în fața autorității de supraveghere, cât și în fața instanței, astfel încât să asigure efectivitatea protecției drepturilor garantate de Regulamentul 2016/679, aplicarea coerentă și omogenă a dispozițiilor sale, precum și dreptul la o cale de atac efectivă în fața unei instanțe judecătorești.
1      Limba originală: franceza.
2      Semnată la Paris la 19
octombrie 2005 și intrată în vigoare la 1
februarie 2007.
3      A se vedea, cu privire la interacțiunea diferitelor niveluri normative, Rigaux, F., „Les situations juridiques individuelles dans un système de relativité générale – Cours général de droit international privé”, Recueil des cours de l’Académie de droit international de La Haye, volumul 213, 1989, în special p. 67 și 68. A se vedea, mai precis, referitor la reglementările antidoping, Diakité, A.,
La mise en œuvre du Code mondial antidopage par les États, Bruylant, Bruxelles, 2023, punctul 127 și urm.
4      A se vedea, de exemplu, Hotărârea din 12
decembrie 1974, Walrave și Koch (36/74, EU:C:1974:140), și, respectiv, Hotărârea din 21
decembrie 2023, European Superleague Company (C‑333/21, denumită în continuare „Hotărârea European Superleague Company”, EU:C:2023:1011).
5      Astfel, prima cauză NADA a fost declarată inadmisibilă prin Hotărârea din 7
mai 2024, NADA ș.a. (C‑115/22, EU:C:2024:384). A se vedea, totuși, Concluziile avocatei generale Ćapeta prezentate în aceeași cauză (C‑115/22, EU:C:2023:676).
6      Regulamentul Parlamentului European și al Consiliului din 27
aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1).
7      Cu privire la adoptarea unui nou cod, prevăzută pentru anul 2027 (a se vedea site‑ul internet al WADA disponibil la următoarea adresă: https://www.wada‑ama.org/fr/nos‑activites/le‑code‑mondial‑antidopage/revision‑du‑code), a se vedea Recomandarea 1/2025, adoptată la 11
februarie 2025 de Comitetul european pentru protecția datelor
(CEPD) publicată pe site‑ul CEPD, disponibilă la următoarea adresă: https://www.edpb.europa.eu/system/files/2025-02/edpb_recommendations_202501_wada_2027_world_anti‑doping_code_fr.pdf
8      Cauza C‑115/22 (JO 2022, C 207, p. 15 și 16).
9      Hotărârea NADA ș.a. (C‑115/22, EU:C:2024:384).
10      Directiva Parlamentului și a Consiliului din 27
aprilie 2016 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și privind libera circulație a acestor date și de abrogare a Deciziei‑cadru 2008/977/JAI a Consiliului (JO 2016, L 119, p. 89).
11      A se vedea Hotărârea din 6
noiembrie 2003, Lindqvist (C‑101/01, denumită în continuare „Hotărârea Lindqvist”, EU:C:2003:596, punctele 25 și 26).
12      A se vedea, în acest sens, Hotărârea din 22
iunie 2021, Latvijas Republikas Saeima (Puncte de penalizare) (C‑439/19, denumită în continuare „Hotărârea Latvijas Republikas Saeima”, EU:C:2021:504, punctul 62 și jurisprudența citată), Hotărârea din 20
octombrie 2022, Koalitsia „Demokratichna Bulgaria – Obedinenie” (C‑306/21, EU:C:2022:813, punctul 35), și Hotărârea din 16
ianuarie 2024, Österreichische Datenschutzbehörde (C‑33/22, denumită în continuare „Hotărârea Österreichische Datenschutzbehörde”, EU:C:2024:46, punctul 37).
13      A se vedea Hotărârea Latvijas Republikas Saeima (punctele 66 și 67). A se vedea de asemenea mutatis mutandis, în contextul Directivei 2002/58/CE a Parlamentului European și a Consiliului din 12
iulie 2002 privind prelucrarea datelor personale și protejarea confidențialității în sectorul comunicațiilor publice, denumită „Directiva asupra confidențialității și comunicațiilor electronice” (JO 2002, L 201, p. 37, Ediție specială, 13/vol. 36, p. 63), Hotărârea din 6
octombrie 2020, La Quadrature du Net ș.a. (C‑511/18, C‑512/18 și C‑520/18, EU:C:2020:791, punctul 135), și Hotărârea din 5
aprilie 2022, Commissioner of An Garda Síochána ș.a. (C‑140/20, EU:C:2022:258, punctul 61), care menționează „activitățile de natură să destabilizeze grav structurile constituționale, politice, economice sau sociale fundamentale ale unei țări și în special să amenințe în mod direct societatea, populația sau statul ca atare, cum ar fi printre altele activitățile de terorism”.
14      A se vedea Hotărârea Österreichische Datenschutzbehörde (punctul 41) și Concluziile avocatului general Szpunar prezentate în această cauză (C‑33/22, EU:C:2023:397, punctul 84).
15      A se vedea Hotărârea din 9 iulie 2020, Land Hessen (C‑272/19, EU:C:2020:535): era vorba de activitățile atât de natură politică, cât și administrativă ale Comisiei pentru petiții a Hessischer Landtag (Parlamentul landului Hessen, Germania), care erau de natură publică și proprii acestui land, această comisie contribuind indirect la activitatea parlamentară.
16      A se vedea Hotărârea Österreichische Datenschutzbehörde (punctul 51).
17      A se vedea Hotărârea din 16
iulie 2020, Facebook Ireland și Schrems (C‑311/18, EU:C:2020:559, punctul 88).
18      A se vedea Hotărârea din 30
aprilie 2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 și C‑332/23, EU:C:2025:303, punctul 104).
19      După cum a afirmat avocatul general Szpunar în Concluziile sale prezentate în cauza Österreichische Datenschutzbehörde (C‑33/22, EU:C:2023:397, punctul 68).
20      A se vedea Concluziile avocatului general Szpunar prezentate în cauzele Latvijas Republikas Saeima (Puncte de penalizare) (C‑439/19, EU:C:2020:1054, punctele 50-59) și Österreichische Datenschutzbehörde (C‑33/22, EU:C:2023:397, punctul 78).
21      A se vedea Lenaerts, K., „L’encadrement par le droit de l’Union européenne des compétences des États membres”, în Chemins d’Europe: mélanges en l’honneur de Jean‑Paul Jacqué, Dalloz, Paris, 2010, p. 424, punctul 7. A se vedea de asemenea Cariat, N. și Dermine, P.,  „La détermination de l’applicabilité du droit de l’Union européenne à une situation particulière”, în Le droit de l’Union européenne et le juge belge/Het recht van de Europese Unie en de Belgische rechter, Bruylant, Bruxelles, 2015, p. 85-114, și Azoulai, L., „La formule des compétences retenues des États membres devant la Cour de justice de l’Union européenne”, în Objectifs et compétences dans l’Union européenne, Bruylant, Bruxelles, 2012, p. 341-368, în special p. 343.
22      A se vedea, în această privință, Hotărârea European Superleague Company (punctul 99) și Hotărârea din 21
decembrie 2023, Royal Antwerp Football Club (C‑680/21, EU:C:2023:1010, punctul 67). A se vedea și Concluziile avocatului general Emiliou prezentate în cauza RRC Sports (C‑209/23, EU:C:2025:362, punctele 22-28).
23      A se vedea Hotărârea European Superleague Company (punctul 99). A se vedea, de exemplu, Rezoluția Consiliului și a reprezentanților guvernelor statelor membre, reuniți în cadrul Consiliului, privind Planul de lucru al Uniunii Europene pentru sport (1 iulie 2024-31 decembrie 2027) (JO 2024, C 3527, p. 1).
24      36/74, EU:C:1974:140, punctul 4. A se vedea și Hotărârea din 15
decembrie 1995, Bosman (C‑415/93, EU:C:1995:463, punctul 73). Pentru o formulare actualizată, a se vedea Hotărârea din 4
octombrie 2024, FIFA (C‑650/22, EU:C:2024:824, punctul 75 și jurisprudența citată).
25      A se vedea, mutatis mutandis, Hotărârea din 20
mai 2003, Österreichischer Rundfunk ș.a. (C‑465/00, C‑138/01 și C‑139/01, EU:C:2003:294, punctul 42) și Hotărârea Lindqvist (punctul 40 și urm.).
26      A se vedea Hotărârea din 18
iulie 2006, Meca‑Medina și Majcen/Comisia (C‑519/04 P, denumită în continuare „Hotărârea Meca‑Medina și Majcen/Comisia”, EU:C:2006:492, punctul 47). În cazul sportivilor amatori, dreptul Uniunii se poate aplica și prin intermediul cetățeniei [a se vedea Hotărârea din 13 iunie 2019, TopFit și Biffi (C‑22/18, EU:C:2019:497)].
27      În plus, această noțiune nu are în mod necesar același conținut în toate statele membre, cu consecința că, în cazul unei divergențe de interpretare, domeniul de aplicare al RGPD ar depinde de dreptul național.
28      A se vedea, totuși, referitor la diferențele privind natura, domeniul de aplicare și regimurile între dreptul la respectarea vieții private și protecția datelor cu caracter personal, Tambou, O., „Chapitre 1. Droit autonome du droit au respect de la vie privée”, în Manuel de droit européen de la protection des données à caractère personnel, Bruylant, Bruxelles, 2020 (ed. 1-a), p. 21 și urm. În legătură cu articolul
8 din Convenția europeană pentru apărarea drepturilor omului și a libertăților fundamentale, semnată la Roma la 4
noiembrie 1950 (denumită în continuare „CEDO”), a se vedea printre altele Hotărârea din 5
octombrie 1994, X/Comisia (C‑404/92 P, EU:C:1994:361, punctul 23), și Curtea EDO, 25
februarie 1997, hotărârea Z împotriva Finlandei (CE:ECHR:1997:0225JUD002200993, § 95).
29      Aici este vizat, de exemplu, riscul de discriminare. Astfel, o stare de sănătate degradată poate determina o discriminare în materie de acces la locuri de muncă, asigurări sau credite.
30      Chiar dacă nu sunt în mod direct în discuție în prezenta cauză, datele referitoare la sănătate în raport cu aplicațiile și dispozitivele conectate pot contribui la identificarea limitelor noțiunii de „date despre sănătate”. De exemplu, „datele despre bunăstare” sau „automăsurările” (în ceea ce privește ritmul cardiac, perioadele de somn, regimurile alimentare, obiceiurile de consum conținute în cardurile de supermarketuri etc.) ridică semne de întrebare legate de aspectul dacă acestea sunt sau nu „date despre sănătate”. De exemplu, numărul de pași zilnici nu constituie în sine date despre sănătate, dar poate deveni dacă aceste date brute sunt combinate cu alte date și se poate trage de aici o concluzie despre starea de sănătate sau riscul pentru sănătatea unei persoane (a se vedea, în această privință, anexa intitulată „Health data in apps and devices” la scrisoarea Grupului de lucru instituit în temeiul articolului 29 adresată Comisiei, DG Connect despre mHealth, din 5
februarie 2015, p. 2, disponibilă la următoarea adresă: https://ec.europa.eu/justice/article-29/documentation/other‑document/files/2015/20150205_letter_art29wp_ec_health_data_after_plenary_annex_en.pdf).
Printre multe altele despre Internet of Things (IoT), a se vedea Casarosa, F. et Gennari, F., „Data Sharing in the Internet of Medical Things – Between the Data Act and the EHDS”, European Journal of Risk Regulation, Cambridge University Press, Cambridge, 2025, p. 1-23; a se vedea de asemenea Yașar, B., „I can feel your heartbeat: E‑health evidence in criminal investigations”, Shaping Utopia through law: How the law does (not) provide an answer to societal challenges, Intersentia, Bruxelles, 2023 (ed. 1-a), p. 43-68, în special p. 57, punctul 4.2.1.
31      A se vedea Hotărârile din 4
octombrie 2024, Schrems (Comunicare de date către publicul larg) (C‑446/21, EU:C:2024:834, punctul 73 și jurisprudența citată), precum și Hotărârea din 4 octombrie 2024, Lindenapotheke (C‑21/23, denumită în continuare „Hotărârea Lindenapotheke”, EU:C:2024:846, punctul 87).
32      A se vedea, în acest sens, Hotărârea Lindenapotheke (punctul 92). În speță, ar fi deosebit de pertinente derogările vizate la articolul
9 alineatul
(2) literele (g) și (i) din RGPD, potrivit cărora prelucrarea datelor sensibile este posibilă dacă este „necesară din motive de interes public major” sau „din motive de interes public în domeniul sănătății publice”, sub rezerva proporționalității.
33      Articolul 6 din „Convenția modernizată” a Consiliului Europei pentru protejarea persoanelor față de prelucrarea automatizată a datelor cu caracter personal (denumită „Convenția 108 +”) din 18
mai 2018, utilizează de asemenea acest termen și prevede, în cadrul categoriilor speciale de date, „datele cu caracter personal pentru informațiile pe care le divulgă asupra […] sănătății […]”.
34      A se vedea Hotărârea Lindqvist (punctul 50) și Hotărârea Lindenapotheke (punctul 81).
35      A se vedea Hotărârea din 1
august 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, denumită în continuare „Hotărârea Vyriausioji tarnybinės etikos komisija”, EU:C:2022:601, punctele 123-127), și Hotărârea Lindenapotheke (punctul 83). Această abordare largă a definiției s‑ar putea datora voinței de a „contracara efectele potențiale ale noilor tehnologii de mega date (big data) prin care s‑ar putea obține multe cunoștințe despre sănătatea unei persoane prin prelucrarea unor date care nu fac decât să dezvăluie ceva cu privire la starea sa de sănătate” (traducere liberă) [a se vedea Verhenneman, G., „Chapter III. – Understanding the Subject of Protection”, în The patient, Data Protection and Changing Healthcare Models, Intersentia, Bruxelles, 2021 (ed. 1-a), p. 97 și urm., în special p. 109].
36      A se vedea Maisnier‑Broché, L., „Fasc. 945: Données de santé à caractère personnel. – Régime général”, JurisClasseur Communication, 2019.
37      A se vedea Herveg, J. și Van Gyshesemm, J.-M., „Titre 16 – L’impact du Règlement général sur la protection des données dans le secteur de la santé”, în Le règlement général sur la protection des données (RGPD/GDPR), Larcier, Bruxelles, 2018 (ed. 1-a), p. 722.
38      A se vedea, prin analogie, documentul de lucru privind prelucrarea datelor medicale cu caracter personal din dosarul electronic de sănătate (Grupul de lucru instituit în temeiul articolului 29, din 15
februarie 2007, WP 131, punctul II.2), disponibil la următoarea adresă: https://ec.europa.eu/justice/article-29/documentation/opinion‑recommendation/files/2007/wp131_fr.pdf
39      A se vedea anexa intitulată „Health data in apps and devices” la scrisoarea Grupului de lucru instituit în temeiul articolului 29 adresată Comisiei, DG Connect despre mHealth, din 5
februarie 2015, p. 2, disponibilă la următorul link: https://ec.europa.eu/justice/article-29/documentation/other‑document/files/2015/20150205_letter_art29wp_ec_health_data_after_plenary_annex_en.pdf
40      A se vedea, în special, Orientările 3/2020 referitoare la prelucrarea datelor privind sănătatea în scopul cercetării științifice în contextul pandemiei de COVID-19, adoptate de CEPD la 21
aprilie 2020, punctul 3.1, disponibile la următoarea adresă: https://www.edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202003_healthdatascientificresearchcovid19_fr.pdf
41      Schäfke‑Zell, W., „Revisiting the definition of health data in the age of digitalized health care”, International Data Privacy Law, Oxford University Press, Oxford, vol. 12, nr. 1, 2022, p. 33-43.
42      A se vedea Concluziile avocatului general Szpunar prezentate în cauza Lindenapotheke (C‑21/23, EU:C:2024:354, punctul 47).
43      A se vedea anexa intitulată „Health data in apps and devices” la scrisoarea Grupului de lucru instituit în temeiul articolului 29 adresată Comisiei, DG Connect despre mHealth, din 5
februarie 2015, p. 2, disponibilă la următoarea adresă: https://ec.europa.eu/justice/article-29/documentation/other‑document/files/2015/20150205_letter_art29wp_ec_health_data_after_plenary_annex_en.pdf. A se vedea, cu privire la această chestiune, și Verhenneman, G., „Chapitre III. – Understanding the Subject of Protection”, în The Patient, Data Protection and Changing Healthcare Models, Intersentia, Bruxelles, 2021 (ed. 1-a), p. 97 și urm. Să observăm că poate fi luată în considerare chiar și o legătură incertă [a se vedea Mascret, C., „Arrêt «Lindenapotheke»: vers une protection renforcée des données de santé et une ouverture des voies de recours en matière de protection des données (CJUE, 4
octombrie 2024, C‑21/23)”, Journal de droit européen, 2025/1, p. 17-20].
44      A se vedea anexa intitulată „Health data in apps and devices” la scrisoarea Grupului de lucru instituit în temeiul articolului 29 adresată Comisiei, DG Connect despre mHealth, din 5
februarie 2015, p. 2, disponibilă la următoarea adresă: https://ec.europa.eu/justice/article-29/documentation/other‑document/files/2015/20150205_letter_art29wp_ec_health_data_after_plenary_annex_en.pdf. A se vedea de asemenea cu privire la distincția dintre obiceiurile de consum și dependență, Borges, G., „Der Mann mit der Brille und die DSGVO – Der Begriff des Gesundheitsdatums”, Rechtswissenschaft, vol. 14, nr. 2, 2023, în special p. 172 și 173.
45      A se vedea, în această privință, anexa intitulată „Health data in apps and devices” la scrisoarea Grupului de lucru instituit în temeiul articolului 29 adresată Comisiei, DG Connect despre mHealth, din 5
februarie 2015, p. 2, și nota de subsol 5, disponibilă la următoarea adresă: https://ec.europa.eu/justice/article-29/documentation/other‑document/files/2015/20150205_letter_art29wp_ec_health_data_after_plenary_annex_en.pdf. În mod similar, obiceiurile de cumpărare în supermarket nu constituie în sine date despre sănătate, dar pot deveni astfel de date dacă sunt combinate și analizate pentru a monitoriza tulburări cum sunt obezitatea sau diabetul.
46      Dispoziția potrivit căreia divulgarea este efectuată „fără ca din aceste informații să poată fi deduse date privind sănătatea persoanei vizate” nu poate fi suficientă pentru a exclude relevanța întrebării adresate în cazul de față. Într‑adevăr, considerăm că această observație se referă la situațiile în care se autorizează utilizarea în scopuri terapeutice (care permit, în anumite condiții, unui sportiv care suferă de o afecțiune medicală să utilizeze o substanță interzisă sau o metodă interzisă, fără ca această informație să fie făcută publică și fără a încălca reglementările) sau la detalii despre rezultatele testelor, care nu sunt în discuție în prezenta cauză.
47      Lista acestor categorii de încălcări, numerotate de la 2.1 la 2.11, figurează printre altele pe site‑ul internet al NADA și în CMA. Pe scurt, încălcările care intră în categoria 2.1 corespund prezenței unei substanțe interzise sau a metaboliților acesteia, ori a markerilor ei, în proba sportivului; 2.2, utilizării sau tentativei unui sportiv de a utiliza o substanță interzisă sau o metodă interzisă; 2.3, sustragerii de la recoltarea de probe, refuzul sau neprezentarea unui sportiv pentru recoltarea de probe; 2.4, încălcării de către sportiv a obligației de localizare; 2.5, falsificării sau tentativei de a falsifica orice parte a controlului doping de către sportiv sau o altă persoană; 2.6, posesiei de substanțe sau metode interzise de către un sportiv sau o altă persoană din personalul asistent al sportivului; 2.7, traficului sau tentativei de traficare a oricărei substanțe interzise sau metode interzise de către sportiv sau o altă persoană; 2.8, administrării sau tentativei de a administra de către un sportiv sau o altă persoană orice substanță sau metodă interzisă oricărui sportiv, în competiție sau în afara competiției; 2.9, complicității sau tentativei de complicitate din partea sportivului sau a unei alte persoane; 2.10, asocierii interzise din partea sportivului sau a unei alte persoane și 2.11, acțiunilor unui sportiv sau ale altei persoane de descurajare sau de represalii împotriva raportării către autorități.
48      Articolul 6.1 din CMA prevede folosirea laboratoarelor acreditate sau aprobate.
49      A se vedea punctul 63 din prezentele concluzii.
50      Pe lângă articolul 165 TFUE
și numeroase texte internaționale, a se vedea Curtea EDO, 18
ianuarie 2018, hotărârea Fédération Nationale des Associations et Syndicats de Sportifs (FNASS) și alții împotriva Franței (CE:ECHR:2018:0118JUD004815111, § 165) și Hotărârea Meca‑Medina și Majcen/Comisia (punctul 43).
51      A se vedea, în această privință, articolul
4.3 din CMA privind criteriile de includere a substanțelor și metodelor în Lista interzisă, care vizează în special dovezile medicale sau din alt domeniu științific că „folosirea substanței sau metodei reprezintă un risc real sau potențial pentru sănătatea sportivului”. A se vedea de asemenea cu titlu de exemplu efectele asupra sănătății ale substanțelor interzise în practica sportivă enumerate în „Vidal”, instrument de informare despre produsele de îngrijire a sănătății a cărui bază de date este autorizată de Haute Autorité de Santé (Înalta Autoritate pentru Sănătate) (HAS) din Franța („Les substances interdites dans la pratique sportive”
(Substanțele interzise în practica sportivă) VIDAL, disponibil la următoarea adresă: https://www.vidal.fr/sante/sport/sport‑medicaments/sport‑dopage‑substances‑interdites/tous‑sports.html).
52      A se vedea Hotărârea Latvijas Republikas Saeima (punctul 100) și Hotărârea din 7
martie 2024, Endemol Shine Finland (C‑740/22, EU:C:2024:216, punctul 49). A se vedea, prin analogie, în temeiul articolului
8 alineatul
(5) din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24
octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO 1995, L 281, p. 31, Ediție specială, 13/vol. 17, p. 10), Hotărârea din 24
septembrie 2019, GC ș.a. (Dezindexarea unor date sensibile) (C‑136/17, EU:C:2019:773).
53      A se vedea Hotărârea Latvijas Republikas Saeima (punctele 77-79), care urmează în această privință Concluziile avocatului general Szpunar prezentate în cauza Latvijas Republikas Saeima (Puncte de penalizare) (C‑439/19, EU:C:2020:1054, punctele 74-78).
54      Să amintim că prelucrarea datelor cu caracter personal în aceste scopuri de către „autoritățile competente” în sensul Directivei 2016/680 intră sub incidența acestei directive ca lex specialis (a se vedea punctul 34 din prezentele concluzii), iar nu în sensul RGPD ca lex generalis. Dar atunci când prelucrarea este efectuată de organisme private (sau de autorități competente, dar în alte scopuri decât cele prevăzute în Directiva 2016/680), se poate aplica RGPD și în special articolul
10 din acesta.
55      A se vedea considerentul (19) al RGPD.
56      Criterii denumite astfel prin referire la hotărârea în care Curtea Europeană a Drepturilor Omului le‑a enunțat pentru prima dată: Curtea EDO, 8
iunie 1976, hotărârea Engel împotriva Țărilor de Jos (CE:ECHR:1976:0608JUD000510071, § 82). Aceste criterii au fost adoptate de Curte în special în Hotărârea din 5
iunie 2012, Bonda (C‑489/10, EU:C:2012:319, punctul 37 și urm.). A se vedea și Hotărârea Latvijas Republikas Saeima (punctele 85 și 87, precum și jurisprudența citată).
57      A se vedea Hotărârea din 20
martie 2018, Menci (C‑524/15, EU:C:2018:197, punctul 27), și Hotărârea din 14
septembrie 2023, Volkswagen Group Italia și Volkswagen Aktiengesellschaft (C‑27/22, EU:C:2023:663, punctul 46).
58      Prin aderarea la organizații sportive și prin participarea la evenimente și competiții sportive, sportivii profesioniști se angajează (prin contract sau prin consimțământul lor) să nu recurgă la practici de dopaj.
59      A se vedea Hotărârea Latvijas Republikas Saeima (punctul 88 și jurisprudența citată).
60      Pe lângă federațiile sportive internaționale și naționale, trebuie să menționăm în special organismele competente desemnate la nivel național, printre care „organizațiile naționale antidoping” (denumite în continuare „ONAD”), care sunt entitățile desemnate de fiecare țară drept autorități principale responsabile de programele antidoping la nivel național, astfel cum sunt enumerate pe site‑ul internet al WADA (a se vedea Programul ONAD, disponibil la următoarea adresă: https://www.wada‑ama.org/fr/programme‑des‑onad).
61      A se vedea Direcția Generală Educație, Tineret, Sport și Cultură (Comisia Europeană), van der Sloot, B., Paun, M., Leenes, R., și alții, Anti‑doping & Data Protection: An evaluation of the anti‑doping laws and practices in the EU Member States in light of the General Data Protection Regulation, Office des publications de l’Union européenne, 2017, în special p. 58, la următoarea adresă: https://data.europa.eu/doi/10.2766/042641.
62      A se vedea Hotărârea din 20
martie 2018, Garlsson Real Estate ș.a. (C‑537/16, EU:C:2018:193, punctul 33), Hotărârea Latvijas Republikas Saeima (punctul 89), Hotărârea din 23
martie 2023, Dual Prod (C‑412/21, EU:C:2023:234, punctul 30), Hotărârea din 4
mai 2023, MV – 98 (C‑97/21, EU:C:2023:371, punctul 42), și Hotărârea din 14
septembrie 2023, Vinal (C‑820/21, EU:C:2023:667, punctul 50).
63      A se vedea Diakité, A., „Chapitre 2. La mise en œuvre des sanctions applicables aux athlètes à l’épreuve du respect des droits fondamentaux”, în La mise en œuvre du Code mondial antidopage par les États, Bruylant, Bruxelles, 2023, ed. 1-a, punctul 1145, și Rouiller, C., „Avis de droit sur la compatibilité de l’article
10.2 du Code mondial antidopage avec les principes fondamentaux du droit national suisse”, din 25 octombrie 2005, p. 20 și urm. (la următoarea adresă: https://www.wada‑ama.org/sites/default/files/resources/files/Compatibilit%C3 %A9_droit_suisse_Document_entier.pdf).
64      A se vedea, în acest sens, jurisprudența Curții EDO, care ia în considerare obiectivul (punitiv sau reparator) al sancțiunii aplicate [Curtea EDO, 23
noiembrie 2006, hotărârea Jussila împotriva Finlandei (CE:ECHR:2006:1123JUD007305301, § 38)].
65      A se vedea, în acest sens, Diakité, A., „Chapitre 2. La mise en œuvre des sanctions applicables aux athlètes à l’épreuve du respect des droits fondamentaux”, în La mise en œuvre du Code mondial antidopage par les États, Bruylant, Bruxelles, 2023 (ed. 1-a), p. 501 și urm., în special punctul 1143.
66      Pentru o sinteză a jurisprudenței în materie, a se vedea Curtea EDO, 6
noiembrie 2018, hotărârea Ramos Nunes de Carvalho e Sá împotriva Portugaliei (CE:ECHR:2018:1106JUD005539113, § 123), și 5
martie 2020, hotărârea Peleki împotriva Greciei (CE:ECHR:2020:0305JUD006929112, § 35). A se vedea, în această privință, și Avizul privind Codul mondial antidoping (Proiectul de Cod 2021) din 13
octombrie 2019 emis de fostul președinte al Curții EDO, Costa, J.-P., în special p. 5
și urm., disponibil la următoarea adresă: https://www.wada‑ama.org/sites/default/files/resources/files/avis_2019_code_mondial_13_octobre.pdf
67      Încălcările disciplinei militare aflate în discuție în cauza Engel, care au implicat repartizarea la o unitate disciplinară pentru o perioadă de câteva luni, au fost considerate ca făcând parte din domeniul de aplicare al aspectului penal al articolului
6 din CEDO [Curtea EDO, 8
iunie 1976, hotărârea Engel și alții împotriva Țărilor de Jos (CE:ECHR:1976:0608JUD000510071, § 85)].
68      Pentru aplicarea aspectului civil al articolului 6 din CEDO în cazul procedurilor disciplinare desfășurate în fața organelor corporative și în care este în joc în mod direct dreptul de a practica o profesie, a se vedea Curtea EDO, 22 iulie 2021, hotărârea Reczkowicz împotriva Poloniei (CE:ECHR:2021:0722JUD004344719, § 183-185 și jurisprudența citată), care vizează judecătorii și avocații, Curtea EDO, 23
iunie 1981, hotărârea Le Compte, Van Leuven și De Meyere împotriva Belgiei (CE:ECHR:1981:0623JUD000687875, § 41-51),
care se referă la medici, Curtea EDO, 27
iunie 1997, hotărârea Philis împotriva Greciei (Nr. 2) (CE:ECHR:1997:0627JUD001977392, § 45),
care se referă la un inginer, precum și Curtea EDO, 5
martie 2020, hotărârea Peleki împotriva Greciei (CE:ECHR:2020:0305JUD006929112, § 39),
care se referă la un notar.
69      A se vedea Curtea EDO, 2
octombrie 2018, hotărârea Mutu și Pechstein împotriva Elveției (CE:ECHR:2018:1002JUD004057510), Curtea EDO, 3
septembrie 2019, hotărârea Bakker împotriva Elveției (CE:ECHR:2019:0903DEC000719807), Curtea EDO, 28
ianuarie 2020, hotărârea Ali Rıza și alții împotriva Turciei (CE:ECHR:2020:0128JUD003022610, § 153-161), Curtea EDO, 18
mai 2021, hotărârea Sedat Doğan împotriva Turciei (CE:ECHR:2021:0518JUD004890914, § 20) și Curtea EDO, 18
mai 2021, hotărârea Naki și AMED Sportif Faaliyetler Kulübü Derneği împotriva Turciei (CE:ECHR:2021:0518JUD004892416, § 20). A se vedea de asemenea, foarte recent, Curtea EDO, 10
iulie 2025, hotărârea Semenya împotriva Elveției (CE:ECHR:2025:0710JUD001093421, în special § 161).
70      A se vedea Curtea EDO, 10
februarie 1983, hotărârea Albert și Le Compte împotriva Belgiei (CE:ECHR:1983:0210JUD000729975, § 30 și jurisprudența citată), Curtea EDO, 6 noiembrie 2018, hotărârea Ramos Nunes de Carvalho e Sá împotriva Portugaliei (CE:ECHR:2018:1106JUD005539113, § 121), și Curtea EDO, 1
iunie 2023, hotărârea Grosam împotriva Republicii Cehe (CE:ECHR:2023:0601JUD001975013, § 112).
71      A se vedea Curtea EDO, 22
decembrie 2020, hotărârea Gestur Jónsson și Ragnar Halldór Hall împotriva Islandei (CE:ECHR:2020:1222JUD006827314, § 93).
72      În schimb, faptul că o normă care sancționează o anumită încălcare se adresează tuturor cetățenilor pledează în favoarea caracterului penal al sancțiunii [a se vedea Curtea EDO, 21
februarie 1984, hotărârea Öztürk împotriva Germaniei (CE:ECHR:1984:0221JUD000854479, § 53)].
73      A se vedea Curtea EDO, 6
noiembrie 2018, hotărârea Ramos Nunes de Carvalho e Sá împotriva Portugaliei (CE:ECHR:2018:1106JUD005539113, § 125).
74      Ea se distinge și de situația de fapt aflată în discuție în Hotărârea din 20
martie 2018, Garlsson Real Estate ș.a. (C‑537/16, EU:C:2018:193), în care amenda administrativă pecuniară pentru conduite ilicite care întrunesc elementele constitutive ale unor manipulări ale pieței se întemeia pe un text legislativ cu aplicabilitate generală.
75      A se vedea punctul 100 din prezentele concluzii.
76      Curtea de Arbitraj Sportiv, 9
august 1999, nr. 98/222, hotărârea B. împotriva International Triathlon Union (ITU) (punctul 43), disponibilă la următoarea adresă: https://jurisprudence.tas‑cas.org/Shared%20Documents/222.pdf. A se vedea, în acest sens, și Soek, J., The strict liability principle and the human rights of the athlets in doping cases, T.M.C. Asser Press, La Haye, 2006, în special p. 272, potrivit căruia, chiar dacă reglementarea disciplinară antidoping aplicată de federațiile și organizațiile sportive nu ține în sine de dreptul penal, aceasta poate fi calificată în anumite cazuri ca un „sistem punitiv” în cadrul căruia se pot aplica principiile dreptului penal.
77      A se vedea Curtea EDO, 5
martie 2020, hotărârea Peleki împotriva Greciei (CE:ECHR:2020:0305JUD006929112, § 36 și jurisprudența citată).
78      A se vedea Hotărârea din 4
mai 2023, MV – 98 (C‑97/21, EU:C:2023:371, punctul 46), și Curtea EDO, 9
octombrie 2003, hotărârea Ezeh și Connors împotriva Regatului Unit (CE:ECHR:2003:1009JUD003966598, § 120).
79      Cu privire la sistemul de sancțiuni, a se vedea articolul 10 din CMA. A se vedea de asemenea Soek, J., The strict liability principle and the human rights of the athlets in doping cases, T.M.C. Asser Press, La Haye, 2006, în special p. 195 și urm.
80      A se vedea Curtea EDO, 22
decembrie 2020, hotărârea Gestur Jónsson și Ragnar Halldór Hall împotriva Islandei (CE:ECHR:2020:1222JUD006827314, § 78), cu privire la abateri săvârșite de profesioniști din domeniul dreptului în cadrul unei ședințe.
81      În speță, autoritatea de supraveghere în sensul acestei dispoziții este autoritatea austriacă pentru protecția datelor.
82      Pentru un caz în care se ridică problema dacă legislația națională privind condițiile de acces la cazierul judiciar ar oferi sau nu garanții suficiente, a se vedea Hotărârea Comisia/Ungaria (Valorile Uniunii) (C‑769/22, 2023/C 54/19) (JO 2023, C 54, p. 16), pendinte la momentul redactării prezentelor concluzii,
și Concluziile avocatei generale Ćapeta prezentate în această cauză la 5
iunie 2025 (EU:C:2025:408, în special punctele 356-359).
83      A se vedea punctele 132-180 din prezentele concluzii.
84      A se vedea Hotărârea Latvijas Republikas Saeima (punctele 74 și 75).
85      A se vedea articolul 5 alineatul (6) punctul 4 din ADBG.
86      A se vedea Hotărârea Vyriausioji tarnybinės etikos komisija (punctul 70 și jurisprudența citată).
87      NADA și ÖADR sunt obligate să publice informațiile în cauză, în conformitate cu articolul
5 alineatul
(6) punctul 4 și, respectiv, cu articolul
21 alineatul
(3) din ADBG.
88      Acest aspect nu este în discuție în speță și considerăm că existența unei sarcini care servește unui interes public nu este nicidecum îndoielnică având în vedere interesul general urmărit de reglementările antidoping [a se vedea Hotărârea Meca‑Medina și Hotărârea Majcen/Comisia (punctul 43)].
89      Aceeași operațiune de prelucrare poate să servească mai multor scopuri legitime de prelucrare [a se vedea Hotărârea din 3
aprilie 2025, Ministerstvo zdravotnictví (Date referitoare la reprezentantul unei persoane juridice) (C‑710/23, EU:C:2025:231, punctul 42)] și unul singur dintre aceste motive legitime să fie suficient [a se vedea Hotărârea Vyriausioji tarnybinės etikos komisija (punctul 71) și Hotărârea din 12
septembrie 2024, HTB Neunte Immobilien Portfolio și Ökorenta Neue Energien Ökostabil IV (C‑17/22 și C‑18/22, EU:C:2024:738, punctul 38)].
90      A se vedea Hotărârea Latvijas Republikas Saeima (punctul 98 și jurisprudența citată).
91      Aceste două obiective corespund, de altfel, celor menționate de WADA în cadrul discuțiilor sale cu Grupul de lucru instituit în temeiul articolului 29 și care au fost reluate în cadrul celui de al doilea aviz nr. 4/2009, adoptat la 6
februarie 2009,
referitor la standardul internațional privind protecția vieții private și a datelor cu caracter personal al [WADA], la dispozițiile relevante ale Codului WADA și la alte aspecte din domeniul vieții private, în contextul combaterii dopajului în sport de către WADA și organizațiile (naționale) antidoping” (punctul 3.6 privind sancțiunile) (denumit în continuare „Avizul 4/2009”).
92      Potrivit articolului
1 alineatul
(2) punctul 8 din ADBG, poate constitui o încălcare a dispozițiilor antidoping faptul că un sportiv are contact cu un membru al personalului asistent vizat de o interdicție sau de o sancțiune.
93      A se vedea, în acest sens, Hotărârea Latvijas Republikas Saeima (punctele 109 și 110).
94      A se vedea, în această privință, Hotărârea din 22
noiembrie 2022, Luxembourg Business Registers (C‑37/20 și C‑601/20, EU:C:2022:912, punctul 42).
95      A se vedea, în această privință, și rezervele Grupului de lucru instituit în temeiul articolului 29 formulate în Avizul 4/2009 la punctul 3.6.1. De asemenea este interesant de observat că, deși articolul 14.2.4 din CMA prevedea, în versiunea sa din 2009, că publicarea trebuie realizată cel puțin prin afișarea informațiilor obligatorii pe site‑ul internet al organizației antidoping timp de cel puțin un an, această cerință de publicare pe internet nu mai există în versiunile ulterioare ale CMA. Adăugăm că, în Germania, organizația antidoping efectuează publicarea pe un suport tipărit intern (a se vedea site‑ul internet al NADA Germania, disponibil la următoarea adresă: https://www.nada.de/service/news/newsdetail/veroeffentlichung‑von‑sanktionsentscheidungen).
96      Potrivit articolului
2.10 din CMA și comentariului care îl însoțește în nota de subsol 15, se pare că este vorba mai ales de a se asigura că sportivii (și celelalte persoane) nu colaborează cu „antrenori, preparatori sau medici sau alte categorii de personal asistent al sportivului care sunt suspendați în temeiul încălcării reglementărilor anti‑doping sau care au primit o condamnare sau sancțiune penală sau profesională disciplinară în legătură cu dopajul. Această dispoziție interzice de asemenea asocierea cu orice alt sportiv care activează ca antrenor sau membru al personalului asistent al sportivului pe durata executării unei perioade de suspendare”.
97      Subliniem că, de altfel, potrivit CMA, pentru a stabili o încălcare a interdicției de asociere cu o persoană suspendată, o organizație anti‑doping trebuie să demonstreze că sportivul sau altă persoană cunoștea statutul de persoană descalificată a membrului personalului asistent al sportivului (articolul
2.10.2 din CMA).
98      A se vedea Hotărârea Vyriausioji tarnybinės etikos komisija (punctul 102) care ia în considerare faptul că divulgarea publică online are drept consecință faptul că datele respective cu caracter personal sunt accesibile în mod liber pe internet publicului larg și, prin urmare, unui număr potențial nelimitat de persoane. Curtea de la Strasbourg ia în considerare de asemenea tipul de suport utilizat pentru divulgarea datelor cu caracter personal, iar difuzarea pe internet a fost considerată deosebit de riscantă în această privință [Curtea EDO, 9 martie 2023, hotărârea L.B. împotriva Ungariei (CE:ECHR:2023:0309JUD003634516, § 121)].
99      A se vedea Avizul 4/2009 (punctele 3.6.1 și 3.6.2 privind sancțiunile).
100      A se vedea, în acest sens, Hotărârea Vyriausioji tarnybinės etikos komisija (punctul 98 și jurisprudența citată).
101      A se vedea articolul 9 alineatul (2) litera (g) din RGPD.
102      A se vedea Hotărârea din 24 septembrie 2019, GC ș.a. (Dezindexarea unor date sensibile) (C‑136/17, EU:C:2019:773, punctul 73) și Hotărârea Latvijas Republikas Saeima (punctul 104).
103      Controlul de proporționalitate se efectuează ținând seama în special de faptul că datele sunt considerate sensibile [a se vedea Hotărârea din 11
decembrie 2019, Asociația de Proprietari bloc M5A‑ScaraA (C‑708/18, EU:C:2019:1064, punctul 57), și Hotărârea Vyriausioji tarnybinės etikos komisija (punctul 99)].
104      A se vedea Concluziile avocatului general Cruz Villalón prezentate în cauzele conexate Digital Rights Ireland ș.a. (C‑293/12 și C‑594/12, EU:C:2013:845, punctul 149), care privesc, într‑un alt context, proporționalitatea perioadei de păstrare a datelor.
105      A se vedea, în această privință, Dellaux, J., „La réglementation de la lutte contre le dopage à l’aune de la jurisprudence de la Cour européenne des droits de l’homme, ou quand la pratique sportive justifie des restrictions importantes au droit au respect de la vie privée”, Revue trimestrielle des droits de l’homme, Anthémis, nr. 116, 2018, în special p. 899 și 900.
106      A se vedea Delforges, A., „Titre 8 – Les obligations générales du responsable du traitement et la place du sous‑traitant”, în Le règlement général sur la protection des données (RGPD/GDPR), Larcier, Bruxelles, 2018 (ed. 1-a), p. 371-406.
107      A se vedea, în această privință, Avizul 4/2009 (punctul 3.6 referitor la sancțiuni), care preconizează, de exemplu, să se ia în considerare în special gravitatea încălcării reglementării antidoping, numărul de încălcări constatate, nivelul la care concurează sportivul și eventuala mediatizare a cazului.
108      A se vedea Hotărârea din 12
ianuarie 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, denumită în continuare „Hotărârea Nemzeti Adatvédelmi és Információszabadság Hatóság”, EU:C:2023:2, punctul 32), și Hotărârea din 9
ianuarie 2025, Österreichische Datenschutzbehörde (Cereri excesive) (C‑416/23, EU:C:2025:3, punctul 24).
109      A se vedea, în acest sens, Spiecker gen. Döhmann, I. și alții, General Data Protection Regulation: Article‑by‑Article Commentary, Nomos – Beck – Hart, 2023, în special p. 1010-1017.
110      Desigur, după cum subliniază guvernele austriac și finlandez, potrivit punctului 47 din Hotărârea Lindenapotheke, „capitolul VIII din RGPD reglementează printre altele căile de atac care permit protejarea drepturilor persoanei vizate atunci când datele cu caracter personal care o privesc fac obiectul unei prelucrări pretins contrare dispozițiilor regulamentului menționat” (sublinierea noastră). Acestea fiind spuse, termenul „printre altele” ne determină să relativizăm argumentul respectiv, cu atât mai mult cu cât problema unei prelucrări care nu avusese încă loc nu era nicidecum în discuție în cauza menționată.
111      A se vedea Hotărârea din 7
decembrie 2023, SCHUFA Holding (Liberare de restul de datorie) (C‑26/22 și C‑64/22, denumită în continuare „Hotărârea SCHUFA Holding”, EU:C:2023:958, punctul 56 și jurisprudența citată).
112      A se vedea Hotărârea SCHUFA Holding (punctul 68 și jurisprudența citată).
113      A se vedea de asemenea Hotărârea din 4 septembrie 2025, Quirin Privatbank (C‑655/23, EU:C:2025:655, punctele 43-50), referitor la posibilitatea de a împiedica repetarea unei prelucrări ilegale a datelor cu caracter personal. A se vedea, în plus, cererea de decizie preliminară formulată de Oberlandsgericht Wien (Austria) în cauza CRIF (C‑40/25), pendinte la momentul redactării prezentelor concluzii, referitoare la posibilitatea de a impune operatorului să se abțină de la orice nouă transmitere ilegală de date cu caracter personal.
114      A se vedea Hotărârea SCHUFA Holding (punctul 58) și Hotărârea din 26 septembrie 2024, Land Hessen (Obligația de a acționa a autorității de protecție a datelor) (C‑768/21, EU:C:2024:785, punctul 35). A se vedea de asemenea Concluziile avocatului general Pikamäe prezentate în cauzele conexate SCHUFA Holding (Liberare de restul de datorie) (C‑26/22 și C‑64/22, EU:C:2023:222, punctul 40).
115      A se vedea, în contextul comparabil al Directivei 2016/680, Hotărârea din 4
octombrie 2024, Bezirkshauptmannschaft Landeck (Tentative de accesare a datelor cu caracter personal stocate pe un telefon mobil) (C‑548/21, EU:C:2024:830, punctele 69-77), în care Curtea a statuat că o tentativă de prelucrare este deja o prelucrare de date.
116      A se vedea, în acest sens, Hotărârea din 11
iulie 2024, Meta Platforms Ireland (Acțiune în reprezentare) (C‑757/22, EU:C:2024:598, punctul 44). O plângere care are ca obiect obligația de informare prevăzută la articolul
12 din RGPD sau dreptul de acces prevăzut la articolul
15 din acest regulament ar fi, de exemplu, admisibilă înainte de începerea prelucrării datelor [a se vedea, în acest sens, Hotărârea din 11
iulie 2024, Meta Platforms Ireland (Acțiune în reprezentare) (C‑757/22, EU:C:2024:598, punctul 45)].
117      Este posibil ca, în această situație, autorul plângerii să poată solicita autorității de supraveghere să avertizeze operatorul sau să dispună față de acesta interzicerea publicării datelor cu caracter personal, invocând, de exemplu, nelegalitatea prelucrării. Dacă prelucrarea respectivă este nelegală, persoana vizată s‑ar putea opune acestei prelucrări efectuate fără motive legitime care să prevaleze în temeiul articolului
17 alineatul
(1) litera (c) din RGPD. Totuși, se pare că ipotezele menționate nu se regăsesc în speță.
118      A se vedea Hotărârea Nemzeti Adatvédelmi és Információszabadság Hatóság (punctul 34). A se vedea de asemenea Concluziile avocatului general Richard de la Tour prezentate în cauza D ș.a. (Corelarea căilor de atac) (C‑414/24, EU:C:2025:656, punctul
46) privind corelarea dintre plângerea administrativă și calea de atac jurisdicțională.
119      A se vedea Hotărârea Nemzeti Adatvédelmi és Információszabadság Hatóság (punctul 41).
120      A se vedea Hotărârea SCHUFA Holding (punctul 53).
121      A se vedea Hotărârea Nemzeti Adatvédelmi és Információszabadság Hatóság (punctul 37) și Hotărârea Lindenapotheke (punctul 60).
122      A se vedea Hotărârea Nemzeti Adatvédelmi és Információszabadság Hatóság (punctele 45 și 57).
123      A se vedea Hotărârea Nemzeti Adatvédelmi és Információszabadság Hatóság (punctele 46, 48 și 51).