Introduction

1.

La réglementation sportive se trouve aux confins de plusieurs sources normatives. En témoigne la réglementation antidopage qui est le fruit d’une co-production normative privée et publique. En particulier, le Code mondial antidopage (CMA), pris en application des statuts de l’Agence mondiale antidopage (AMA), est un instrument de nature privée que les États signataires se sont engagés à respecter à travers la convention internationale des Nations unies contre le dopage dans le sport  ( 2 ). Cette réglementation, destinée à harmoniser les politiques, règles et règlements antidopage des organisations sportives et des autorités publiques à travers le monde, forme ainsi un système juridique sectoriel transnational bien spécifique  ( 3 ).

2.

La Cour a déjà été appelée à se prononcer sur la compatibilité de réglementations sportives au regard du droit de l’Union, sous l’angle notamment de la libre prestation de services ou de la concurrence  ( 4 ).

3.

La présente affaire donne à la Cour l’occasion, inédite  ( 5 ), d’appréhender certains aspects de la réglementation antidopage au regard des exigences liées à la protection des données à caractère personnel. Il s’agit en effet de concilier, d’une part, les exigences d’un sport éthique, qui se traduiraient en l’occurrence par la publication nominative, en ligne, des sanctions infligées aux sportifs lorsqu’ils enfreignent les règles antidopage, et, d’autre part, la protection des données à caractère personnel de ces sportifs, découlant du règlement (UE) 2016/679  ( 6 ) (ci-après le « RGPD »).

4.

À l’heure où le CMA est en cours de révision  ( 7 ), la portée de l’arrêt à intervenir pourrait dépasser les frontières européennes.

Le cadre juridique

Le droit de l’Union

5.

L’article 16 TFUE prévoit, dans son paragraphe 1, que toute personne a droit à la protection des données à caractère personnel la concernant. Son paragraphe 2 dispose que « [l]e Parlement européen et le Conseil, statuant conformément à la procédure législative ordinaire, fixent les règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union, ainsi que par les États membres dans l’exercice d’activités qui relèvent du champ d’application du droit de l’Union, et à la libre circulation de ces données. Le respect de ces règles est soumis au contrôle d’autorités indépendantes ».

6.

L’article 165 TFUE prévoit, dans son paragraphe 2, que l’action de l’Union vise notamment à « développer la dimension européenne du sport, en promouvant l’équité et l’ouverture dans les compétitions sportives et la coopération entre les organismes responsables du sport, ainsi qu’en protégeant l’intégrité physique et morale des sportifs, notamment des plus jeunes d’entre eux ». À cet effet, son paragraphe 4 prévoit que le « Conseil adopte, sur proposition de la Commission, des recommandations ».

7.

Le considérant 35 du RGPD prévoit que « [l]es données à caractère personnel concernant la santé devraient comprendre l’ensemble des données se rapportant à l’état de santé d’une personne concernée qui révèlent des informations sur l’état de santé physique ou mentale passé, présent ou futur de la personne concernée. Cela comprend des informations sur la personne physique collectées lors de l’inscription de cette personne physique en vue de bénéficier de services de soins de santé [...], un numéro, un symbole ou un élément spécifique attribué à une personne physique pour l’identifier de manière unique à des fins de santé ; des informations obtenues lors du test ou de l’examen d’une partie du corps ou d’une substance corporelle, y compris à partir de données génétiques et d’échantillons biologiques ; et toute information concernant, par exemple, une maladie, un handicap, un risque de maladie, les antécédents médicaux, un traitement clinique ou l’état physiologique ou biomédical de la personne concernée, indépendamment de sa source, qu’elle provienne par exemple d’un médecin ou d’un autre professionnel de la santé, d’un hôpital, d’un dispositif médical ou d’un test de diagnostic in vitro ».

8.

L’article 2 du RGPD, intitulé « Champ d’application matériel », dispose à son paragraphe 1 que « [l]e présent règlement s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier ». Il résulte de l’article 2, paragraphe 2, sous a), du RGPD que ce règlement ne s’applique pas au traitement de données à caractère personnel effectué « dans le cadre d’une activité qui ne relève pas du champ d’application du droit de l’Union ».

9.

L’article 4 du RGPD, intitulé « Définitions », prévoit au point 15 qu’aux fins de ce règlement, on entend par « “données concernant la santé”, les données à caractère personnel relatives à la santé physique ou mentale d’une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l’état de santé de cette personne ».

10.

L’article 5 dudit règlement, intitulé « Principes relatifs au traitement des données à caractère personnel », prévoit :

11.

L’article 6 de ce même règlement, intitulé « Licéité du traitement », énonce :

12.

L’article 9, paragraphe 1, du RGPD, intitulé « Traitement portant sur des catégories particulières de données à caractère personnel », interdit notamment le traitement des données à caractère personnel concernant la santé. Il résulte de l’article 9, paragraphe 2, sous g), de ce règlement que le paragraphe 1 ne s’applique pas si « le traitement est nécessaire pour des motifs d’intérêt public important, sur la base du droit de l’Union ou du droit d’un État membre qui doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée ».

13.

L’article 10 du RGPD, intitulé « Traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions », prévoit que « [l]e traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions [...] ne peut être effectué que sous le contrôle de l’autorité publique, ou si le traitement est autorisé par le droit de l’Union ou par le droit d’un État membre qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées. Tout registre complet des condamnations pénales ne peut être tenu que sous le contrôle de l’autorité publique ».

14.

L’article 77 du RGPD, intitulé « Droit d’introduire une réclamation auprès d’une autorité de contrôle », dispose à son paragraphe 1 :

15.

L’article 78 du RGPD, intitulé « Droit à un recours juridictionnel effectif contre une autorité de contrôle », prévoit à son paragraphe 1 :

Le droit autrichien

16.

Il résulte de l’article 5, paragraphe 5, de l’Anti-Doping-Bundesgesetz 2021 (loi fédérale relative à l’antidopage 2021), du 23 décembre 2020 (BGBl. I, 152/2020) (ci-après l’« ADBG »), que la Nationale Anti-Doping Agentur Austria GmbH (Agence indépendante de lutte contre le dopage, Autriche, ci-après « NADA ») est une société d’utilité publique à responsabilité limitée qui exerce les fonctions d’organisme indépendant de contrôle du dopage et est responsable du traitement des données à caractère personnel.

17.

En application de l’article 5, paragraphe 6, point 4, de l’ADBG, NADA informe la Bundes-Sportorganisation (Organisation fédérale du sport, Autriche), les organisations sportives, les sportifs, les autres personnes, ainsi que les organisateurs de compétitions, et met gratuitement à la disposition du grand public certains éléments d’informations, à savoir « les mesures conservatoires (par exemple, les suspensions) et les interdictions visant les sportifs et d’autres personnes, qui ont été portées à [son] attention [...], et leur levée, en indiquant le nom des personnes concernées, la durée de l’interdiction et les motifs de celle-ci, sans qu’il soit possible de remonter à des catégories particulières de données à caractère personnel des personnes concernées, notamment des données relatives à la santé. Cette information peut être omise pour les personnes particulièrement vulnérables et les sportifs amateurs [...] ».

18.

L’article 6, paragraphe 2, de l’ADBG prévoit notamment que NADA veille à la sécurité des données à caractère personnel et des catégories particulières de données à caractère personnel, conformément aux articles 32 à 34 du RGPD. Cette disposition précise que « la nécessité de traiter les données découle de la mise en œuvre effective des règles antidopage du [CMA] et des dispositions de la présente loi fédérale, dans la mesure où les personnes concernées se sont engagées contractuellement à respecter le CMA ». De plus, « [d]es catégories spéciales de données à caractère personnel, notamment les données relatives à la santé, ne peuvent être traitées que dans la mesure où cela est strictement nécessaire en vertu des dispositions antidopage de la présente loi fédérale ou du CMA ».

19.

L’Österreichische Anti-Doping Rechtskommission (Commission juridique antidopage autrichienne, ci-après l’« ÖADR ») est une commission publique et indépendante des organes gouvernementaux, des particuliers et de NADA, qui, en application de l’article 7, paragraphe 1, de l’ADBG, doit « mener des procédures disciplinaires pour la fédération sportive fédérale respectivement compétente conformément aux règles antidopage en vigueur de la fédération sportive internationale compétente (procédure antidopage) ».

20.

En vertu de l’article 21, paragraphe 3, de l’ADBG, l’ÖADR doit, « au plus tard 20 jours après que la décision est devenue définitive, informer la Bundes-Sportorganisation [Organisation fédérale du sport], les organisations sportives, les sportives et sportifs, les autres personnes et les organisateurs de compétitions, ainsi que le grand public, des mesures conservatoires imposées (par exemple les suspensions) et des décisions prises dans le cadre de procédures antidopage, en indiquant le nom de la personne concernée, la durée de la suspension et les motifs de celle-ci, sans qu’il soit possible de remonter aux données relatives à la santé de la personne concernée. Cette information peut être omise dans le cas des personnes particulièrement vulnérables, des sportifs amateurs et des personnes qui ont contribué de manière significative à la détection de violations potentielles des règles antidopage en communiquant des informations ou d’autres indications. Une divulgation concernant les sportifs amateurs est effectuée pour des raisons de santé publique lorsqu’une violation des règles antidopage a été constatée conformément à l’article 1er, paragraphe 2, point 3 ainsi que points 9 à 11 ».

21.

Il résulte en substance de l’article 23, paragraphe 14, de l’ADBG que les mêmes obligations s’imposent à l’Unabhängige Schiedskommission (Commission indépendante d’arbitrage, Autriche, ci-après l’« USK »).

Le litige au principal, les questions préjudicielles et la procédure devant la Cour

22.

Dans le cadre de procédures antidopage, les sportifs AR, YT, DI et RN (ci-après les « requérants ») ont fait l’objet de décisions de suspension (pour une période déterminée ou à vie selon les cas), prises soit par l’ÖADR, compétente pour mener les procédures antidopage, soit par l’USK, compétente pour réexaminer les décisions de l’ÖADR.

23.

En vertu de la législation autrichienne en matière d’antidopage, les suspensions décidées par l’ÖADR ou l’USK sont publiées sous forme de liste sur son site Internet par NADA. Pour la durée des suspensions, cette liste comprend le prénom et le nom de l’athlète concerné, le sport pratiqué, la violation des règles antidopage commise, la sanction infligée ainsi que le début et la fin de celle-ci. L’ÖADR publie également ces mêmes données, ainsi que la substance interdite éventuellement en cause, par un communiqué sur son propre site Internet.

24.

Les requérants ont demandé, les 14 et 15 octobre 2021, à l’ÖADR et à NADA de ne plus faire apparaître leurs noms et disciplines sportives respectives. L’ÖADR et NADA n’ont pas donné suite à ces demandes.

25.

Le 22 octobre 2021, les requérants ont saisi l’Österreichische Datenschutzbehörde (autorité autrichienne de protection des données, Autriche, ci-après l’« autorité autrichienne de protection des données ») d’une réclamation en application de l’article 77, paragraphe 1, du RGPD, visant à constater la violation du droit à l’effacement et à la limitation des données et à ordonner à l’ÖADR et à NADA de supprimer la publication de leurs noms et des sports pratiqués sur lesdits sites Internet. Ils ont également fait valoir qu’il s’agissait d’une catégorie particulière de données à caractère personnel ainsi que d’un traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions, au sens respectivement des articles 9 et 10 du RGPD. Le régime indifférencié de publication prévu en droit autrichien serait incompatible avec l’article 6, paragraphe 3, du RGPD et ne serait ni nécessaire ni proportionné.

26.

Le 26 novembre 2021, l’autorité autrichienne de protection des données a rejeté comme non-fondée cette réclamation. Concernant plus particulièrement YT, sa réclamation a été rejetée pour manque d’intérêt à agir, au motif que ses données n’avaient pas encore été publiées.

27.

Les requérants ont alors introduit un recours devant le Bundesverwaltungsgericht (tribunal administratif fédéral, Autriche), qui est la juridiction de renvoi, fondé sur l’article 78, paragraphe 1, du RGPD. Dans ce cadre, NADA, première partie défenderesse au principal, a avancé que la publication des données à caractère personnel sur son site Internet était nécessaire au respect d’une obligation légale à laquelle elle était soumise et à l’exécution d’une mission d’intérêt public au sens de l’article 6, paragraphe 1, sous c) et e), du RGPD.

28.

La juridiction de renvoi a suspendu la procédure au principal en raison de l’introduction, par l’USK, de la demande de décision préjudicielle dans l’affaire NADA e.a.  ( 8 ). Après le rejet de cette demande pour irrecevabilité par arrêt du 7 mai 2024  ( 9 ), la procédure nationale devant la juridiction de renvoi a repris son cours.

29.

Dans ce contexte, le Bundesverwaltungsgericht (tribunal administratif fédéral) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :

30.

Des observations écrites ont été déposées par les requérants au principal, NADA, l’autorité autrichienne de protection des données, la Commission, ainsi que les gouvernements autrichien, letton, néerlandais, polonais et finlandais. Les requérants au principal, NADA, la Commission, ainsi que les gouvernements autrichien, letton et finlandais ont également présenté leurs observations orales lors de l’audience qui s’est tenue publiquement le 13 mai 2025.

Analyse

31.

Après avoir examiné la première question préjudicielle sur l’applicabilité du RGPD, j’analyserai les deuxième, cinquième et sixième questions qui concernent certaines données particulières, avant d’étudier la question relative au principe de proportionnalité (troisième et quatrième questions préjudicielles). Enfin, j’examinerai la septième question, de nature plus procédurale.

Sur la première question

32.

Par sa première question, la juridiction de renvoi demande, en substance, si la mise en œuvre de la législation antidopage constitue ou non une « activité » qui relève du « champ d’application du droit de l’Union » au sens de l’article 16, paragraphe 2, première phrase, TFUE.

33.

L’enjeu de cette réponse est de taille puisque, dans la négative, le RGPD ne s’appliquerait pas au litige au principal. En effet, adopté sur le fondement de l’article 16 TFUE, le RGPD, par son article 2, paragraphe 2, sous a), exclut de son champ d’application le traitement de données à caractère personnel effectué dans le cadre d’une activité « qui ne relève pas du champ d’application du droit de l’Union ».

34.

À titre liminaire, et même si elle n’est pas mentionnée par le juge de renvoi, je souhaite rappeler que l’exception visée à l’article 2, paragraphe 2, sous d), du RGPD prévoit que ce règlement ne s’applique pas aux traitements de données à caractère personnel effectués « par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales [...] ». Cette exception s’explique par le fait que les traitements de données à caractère personnel à de telles fins par les « autorités compétentes » sont régis par un acte plus spécifique de l’Union, à savoir la directive (UE) 2016/680  ( 10 ), adoptée le même jour que le RGPD. Il n’est pas exclu, à ce stade, que le critère matériel de cette exception puisse être rempli en l’espèce. En effet, la question de savoir si le traitement des données en cause en l’espèce est effectué aux fins visées par l’article 2, paragraphe 2, sous d), du RGPD nous renvoie à l’objet de la cinquième question préjudicielle (relative à l’article 10 du RGPD), concernant la nature pénale ou non des condamnations et infractions faisant l’objet des traitements de données en cause. Toutefois, le critère organique de l’exception visée par l’article 2, paragraphe 2, sous d), du RGPD n’a pas été abordé : NADA et l’ÖADR constituent-elles des « autorités compétentes » au sens de l’article 3, paragraphe 7, de la directive 2016/680 ? Dans la négative, le RGPD s’applique, ce qui constituera mon hypothèse de travail pour la suite de l’analyse. En revanche, dans l’affirmative et dans l’hypothèse où le critère matériel serait également rempli, la question de l’applicabilité de la directive 2016/680 en lieu et place du RGPD se poserait, ce qu’il incombe à la juridiction de vérifier.

35.

Cette remarque étant faite, je relève que, en l’occurrence, il n’est pas contesté que les traitements de données à caractère personnel en cause, effectués par les autorités autrichiennes antidopage et consistant en la publication sur Internet des noms des sportifs concernés, de la discipline sportive pratiquée, de la violation des règles antidopage commise, de la sanction prononcée ainsi que du début et de la fin de cette sanction, correspondent aux traitements auxquels le RGPD s’applique en vertu de son article 2, paragraphe 1, à savoir des traitements de données à caractère personnel automatisés en tout ou en partie  ( 11 ).

36.

La question qui se pose de façon plus controversée est celle de savoir si ce traitement entre dans le champ de l’exception prévue à l’article 2, paragraphe 2, sous a), du RGPD.

37.

Dans le cadre de mon analyse, je rappellerai, dans un premier temps, le principe d’interprétation stricte de l’exception de l’article 2, paragraphe 2, sous a), du RGPD et en tirerai, dans un second temps, les conséquences concernant l’activité antidopage au regard des arguments avancés par NADA.

Sur l’interprétation stricte de l’exception de l’article 2, paragraphe 2, sous a), du RGPD

38.

Conformément à une jurisprudence constante, l’exception prévue à l’article 2, paragraphe 2, sous a), du RGPD, en tant qu’elle rend inapplicable le régime de protection des données à caractère personnel prévu par le RGPD et s’écarte ainsi de son objectif de protection, doit recevoir une interprétation stricte  ( 12 ).

39.

En effet, comme indiqué en substance dans les considérants 6 à 12 du RGPD, l’évolution rapide des technologies, la mondialisation et l’ampleur de la collecte et du partage de données à caractère personnel nécessitent un cadre de protection des données solide et cohérent dans l’Union, assurant un niveau élevé de protection des droits et des libertés des personnes physiques à l’égard du traitement de ces données, équivalent dans tous les États membres, assorti d’une application rigoureuse des règles, de sorte à susciter la confiance de nature à permettre à l’économie numérique de se développer dans l’ensemble du marché intérieur.

40.

Dans cette optique, le champ d’application matériel du RGPD, fixé à son article 2, est donc nécessairement large et les exceptions qu’il prévoit font l’objet d’une interprétation stricte. La Cour a ainsi jugé que l’article 2, paragraphe 2, sous a), du RGPD, lu à la lumière de son considérant 16, a pour seul objet d’exclure du champ d’application de celui-ci les traitements de données à caractère personnel effectués dans le cadre d’une activité qui vise à préserver la sécurité nationale ou d’une activité pouvant être rangée dans la même catégorie.

41.

Les activités qui ont pour but de préserver la sécurité nationale couvrent, en particulier, celles ayant pour objet de protéger les fonctions essentielles de l’État et les intérêts fondamentaux de la société  ( 13 ).

42.

En revanche, ce sont non pas des personnes, en tant que telles, qui se trouvent soustraites à l’application du RGPD, mais uniquement leurs activités en cause  ( 14 ). En effet, le seul fait qu’une activité soit propre à l’État ou à une autorité publique ne suffit pas pour que cette exception soit automatiquement applicable à cette activité  ( 15 ). Ne suffit pas davantage le fait que l’auteur du traitement en cause ait des activités relatives à la sécurité nationale, dès lors que c’est l’activité en cause dans le cadre du traitement concerné qui est seule pertinente  ( 16 ). Ne suffit pas non plus le fait que dans le cadre d’un transfert de données à des fins commerciales depuis un État membre vers un pays tiers, les données en cause soient susceptibles d’être traitées, au cours ou à la suite de ce transfert, par les autorités du pays tiers concerné, à des fins de sécurité publique, de défense et de sûreté de l’État  ( 17 ).

43.

Or, en l’espèce, comme souligné par le gouvernement autrichien, l’article 1er, paragraphe 1, de l’ADBG dispose que, « du fait qu’il influence les aptitudes sportives, le dopage est contraire au principe d’équité en compétition sportive ainsi qu’à la véritable valeur intrinsèque du sport (l’esprit sportif) et présente de surcroît des risques pour la santé ».

44.

Dès lors, on ne saurait soutenir que les publications de données à caractère personnel par NADA et l’ÖADR constituent un traitement de données dans le cadre d’une activité, en l’occurrence la lutte antidopage, qui serait relative à la sécurité nationale ou qui pourrait être rangée dans cette catégorie visée par l’article 2, paragraphe 2, sous a), du RGPD.

45.

Il convient d’en conclure que l’exception fondée sur cette disposition du RGPD n’est pas applicable au traitement de données en cause en l’espèce.

46.

Les arguments de NADA, fondés, d’une part, sur le fait que l’activité antidopage relève des États membres et, d’autre part, sur l’absence de caractère économique de cette activité, ne sont pas de nature à infirmer ce constat, comme je m’attacherai à le démontrer à présent.

L’activité « antidopage » n’échappe pas au RGPD…

–

… même si elle relève des États membres

47.

Premièrement, NADA soutient que la politique antidopage est un domaine qui, en vertu de la répartition des compétences prévue par le droit de l’Union, demeure du ressort des États membres, nonobstant la compétence d’appui prévue dans le domaine du sport par l’article 165 TFUE.

48.

Toutefois, le fait que le traitement de données à caractère personnel ait lieu dans le cadre d’une activité relevant de la compétence des États membres n’est pas pertinent en soi pour exclure ce traitement du champ d’application du RGPD sur le fondement de son article 2, paragraphe 2, sous a), dès lors qu’il ne relève ni d’une activité qui vise à préserver la sécurité nationale ni d’une activité pouvant être rangée dans la même catégorie  ( 18 ).

49.

Exclure du champ d’application du RGPD un traitement effectué dans le cadre d’une activité au seul motif que cette activité serait de la compétence des États membres irait selon moi à l’encontre tant du texte que du contexte et des objectifs de ce règlement.

50.

En effet, lorsque le texte de l’article 2, paragraphe 2, sous a), du RGPD évoque la notion d’« activité qui ne relève pas du champ d’application du droit de l’Union », il renvoie non pas à une logique de compétence, mais à une logique matérielle de définition du champ d’application par le législateur, dans le RGPD lui-même, investi en cela par l’article 16, paragraphe 2, TFUE. Cette disposition « constitue et délègue » à l’Union une compétence législative en matière de protection et de libre circulation des données à caractère personnel et définit à cet effet un champ d’application spécifique  ( 19 ). En outre, dans le contexte particulier de la protection des données à caractère personnel, compte tenu notamment de la nature autonome des problématiques liées à leur traitement qui ont appelé une intervention législative propre et spécifique, la notion de « champ d’application du droit de l’Union » dépasse les hypothèses de « mise en œuvre du droit de l’Union » au sens de l’article 51 de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte »)  ( 20 ). Enfin, « dans bien des domaines relevant de la compétence des États membres, le droit de l’Union ne reste pas sans incidence »  ( 21 ). C’est particulièrement vrai du RGPD, dont le champ d’application, transversal, est nécessairement large compte tenu de ses objectifs, rappelés au point 39 des présentes conclusions.

51.

Ainsi, quand bien même l’activité « antidopage » n’est pas réglementée par un acte du droit de l’Union et relève des États membres, il ne saurait en être déduit que le traitement effectué dans le cadre de cette activité antidopage ne relève pas du « champ d’application du droit de l’Union », au sens de l’article 2, paragraphe 2, sous a), du RGPD, tel qu’interprété par la Cour dans le contexte spécifique du RGPD.

52.

Au demeurant, le sport est, depuis le traité de Lisbonne, une compétence d’appui de l’Union  ( 22 ). L’article 165, paragraphe 2, TFUE prévoit ainsi que « [l]’action de l’Union vise [...] à développer la dimension européenne du sport, en promouvant l’équité et l’ouverture dans les compétitions sportives et la coopération entre les organismes responsables du sport, ainsi qu’en protégeant l’intégrité physique et morale des sportifs, notamment des plus jeunes d’entre eux ». Ces termes renvoient notamment aux politiques en matière d’antidopage. Certes, une telle compétence d’appui n’octroie aucune compétence à l’Union pour légiférer en matière de sport. Cependant, même si l’activité de l’Union n’est pas normative, elle existe et permet à celle-ci d’adopter des actes juridiques dans le but d’appuyer, de coordonner ou de compléter l’action des États membres, conformément à l’article 6 TFUE  ( 23 ). Dès lors, le caractère « sportif » des règles antidopage ne permet pas de considérer que leur mise en œuvre constitue une activité qui échapperait au champ d’application du droit de l’Union au sens de l’article 2, paragraphe 2, sous a), du RGPD.

–

… et malgré son « absence » de caractère économique

53.

Deuxièmement, NADA soutient que la pratique du sport ne relève du droit de l’Union que dans la mesure où elle constitue une activité économique. Les règles antidopage en cause seraient, quant à elles, fondées sur des considérations purement sportives, de sorte que le traitement des données en cause en l’espèce ne constituerait pas une question relevant de l’activité économique et ne relèverait donc pas du champ d’application du droit de l’Union.

54.

Cet argument, tiré d’une prétendue « détachabilité » des règles antidopage, ne me convainc pas davantage.

55.

En effet, l’affirmation selon laquelle l’« exercice des sports ne relève du droit communautaire que dans la mesure où il constitue une activité économique au sens de l’article 2 du traité [CE] » nous ramène à l’arrêt du 12 décembre 1974, Walrave et Koch  ( 24 ). Or, depuis lors, l’Union a exercé sa compétence en matière de protection des données sur le fondement de l’article 16 TFUE. Les États membres ont ainsi entendu appliquer le droit de l’Union de la protection des données à caractère personnel y compris dans des domaines non économiques, comme en attestent à la fois le texte, le contexte et les objectifs du RGPD.

56.

Tout d’abord, le texte de l’article 2, paragraphe 2, sous a), du RGPD détermine le champ d’application matériel de ce règlement en se référant à la notion d’« activité » et non d’« activité économique » relevant ou non du droit de l’Union.

57.

Ensuite, le contexte du RGPD, et en particulier ses dispositions en matière de transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales (chapitre V du RGPD), confirme cette approche textuelle. En effet, si les conditions ne sont pas remplies pour qu’un tel transfert ait lieu, des dérogations en cas de situations particulières, prévues à l’article 49 du RGPD, peuvent néanmoins autoriser un tel transfert. Or, le considérant 112 du RGPD mentionne expressément que les dérogations pour ces situations particulières « devraient s’appliquer en particulier aux transferts de données requis et nécessaires pour des motifs importants d’intérêt public, par exemple en cas d’échange international de données [...] en vue de réduire et/ou d’éliminer le dopage dans le sport ». Comme l’a souligné le gouvernement finlandais, ce considérant indique que le législateur de l’Union n’a pas considéré que le traitement des données à caractère personnel en matière de contrôle antidopage, quoique portant sur une activité non économique, se trouvait en dehors du champ d’application de ce règlement.

58.

Enfin, le critère fondé sur un lien de rattachement au droit de l’Union par une activité économique ne me semble pas davantage pertinent au regard des objectifs visés par le RGPD. En effet, un tel critère aboutirait à devoir déterminer le champ d’application du RGPD au cas par cas, selon que le traitement des données en cause présenterait ou non un lien avec des dispositions particulières du droit de l’Union ou avec les libertés régissant le marché intérieur. Une telle approche, variable selon les situations concrètes en cause, risquerait de rendre les limites du domaine d’application de ce règlement incertaines et aléatoires  ( 25 ), en violation des objectifs essentiels de celui-ci, à savoir assurer une application cohérente et homogène des règles de protection dans l’ensemble de l’Union et lever les obstacles aux flux de données à caractère personnel au sein de celle‑ci.

59.

Au demeurant, j’ajouterais que, à tout le moins pour les athlètes professionnels, l’on ne peut exclure un lien entre la réglementation antidopage et leur activité professionnelle et donc un lien de rattachement économique avec notamment les libertés de circulation et de libre prestation de services  ( 26 ). En effet, les sanctions encourues sont de nature à entraîner des conséquences économiques non négligeables du fait de leur suspension, parfois à vie. Si, pour déterminer le champ d’application du RGPD, l’on devait faire appel à l’existence d’un tel lien de rattachement économique, on parviendrait au résultat pour le moins peu satisfaisant au terme duquel le RGPD pourrait, par exemple, s’appliquer aux athlètes professionnels, mais non aux sportifs amateurs  ( 27 ). Une telle différence de traitement selon que l’activité est considérée comme économique ou non se concilie mal avec le RGPD et ses objectifs de protection à l’égard des données à caractère personnel.

Conclusion sur la première question

60.

Eu égard à tout ce qui précède, je propose à la Cour de répondre à la première question que l’article 16, paragraphe 2, première phrase, TFUE et l’article 2, paragraphe 2, sous a), du RGPD doivent être interprétés en ce sens que les traitements des données à caractère personnel consistant, en application des règles nationales antidopage, en la publication des noms des sportifs concernés, de la discipline sportive pratiquée, de la violation des règles antidopage commise, de la sanction prononcée ainsi que du début et de la fin de cette sanction ne sauraient être considérés comme effectués dans le cadre d’une « activité qui ne relève pas du champ d’application du droit de l’Union », au sens de l’article 2, paragraphe 2, sous a), du RGPD.

Sur la deuxième question

61.

Par sa deuxième question, la juridiction de renvoi demande si la publication des données à caractère personnel en cause porte sur des « données concernant la santé » au sens de l’article 9 du RGPD.

Sur l’interprétation large de la notion de « données concernant la santé »

62.

L’enjeu de cette question réside dans le fait que l’article 9 du RGPD prévoit un régime juridique particulièrement protecteur des catégories de données à caractère personnel dites « sensibles », dont font partie les « données concernant la santé » (ou « données de santé »). Ces données, considérées comme étant au cœur de l’intimité des personnes, nécessitent comme telles un haut niveau de protection, à la fois grâce à la protection de la vie privée, au secret professionnel et à la législation relative à la protection des données personnelles  ( 28 ). Leur traitement est, dès lors, interdit par l’article 9, paragraphe 1, du RGPD, sauf application d’une des dérogations prévues à son paragraphe 2. C’est ce que reflète le considérant 51 du RGPD, concernant les données sensibles, selon lequel cette protection spécifique s’explique « car le contexte dans lequel elles sont traitées pourrait engendrer des risques importants pour ces libertés et droits ». En vertu du considérant 54 du RGPD, il s’agit d’éviter, si elles font l’objet d’un traitement pour des motifs d’intérêt public, qu’elles soient traitées « à d’autres fins par des tiers, tels que des employeurs ou les compagnies d’assurance et les banques »  ( 29 ). L’impératif de protection des données s’est d’ailleurs accru avec l’informatisation des structures de santé et la dématérialisation des supports et des flux de données  ( 30 ).

63.

Ajoutons que l’interdiction du traitement de données de santé, prévue à l’article 9, paragraphe 1, du RGPD, est indépendante du point de savoir si l’information révélée par le traitement de données est exacte ou non ou si le responsable du traitement agit dans le but d’obtenir des informations relevant d’une des catégories particulières visées à cette disposition  ( 31 ). Il convient d’en déduire que l’objectif du responsable du traitement, et en particulier le fait que le traitement soit nécessaire en vertu d’une obligation légale ou d’un intérêt public, s’il constitue un élément pertinent dans le cadre de l’application éventuelle de l’une des dix dérogations prévues à l’article 9, paragraphe 2, du RGPD, n’est pas un élément devant être pris en compte au stade de la qualification de « donnée de santé »  ( 32 ).

64.

Conformément à l’article 4, point 15, du RGPD, lu conjointement avec le considérant 35 de ce règlement, de telles données comprennent l’ensemble des données à caractère personnel relatives à la santé physique ou mentale d’une personne physique, qui révèlent  ( 33 ) des informations sur son état de santé passé, présent ou futur.

65.

La Cour a déjà jugé que, au vu de l’objectif du RGPD, la notion de « données concernant la santé » visée à l’article 9, paragraphe 1, de ce règlement doit être interprétée de manière large  ( 34 ). En vertu de l’interprétation contextuelle et téléologique de l’article 4, point 15, et de l’article 9 du RGPD, pour être qualifiées comme telles, il suffit que les données en cause soient, même de manière indirecte, susceptibles de dévoiler, par une opération intellectuelle de rapprochement ou de déduction, des informations sur l’état de santé de la personne concernée  ( 35 ).

66.

Dans ce contexte, j’ai l’impression que l’on pourrait distinguer schématiquement deux catégories de données de santé.

67.

D’une part, les données générées dans le cadre médical me semblent pouvoir être considérées comme des données de santé « par nature »  ( 36 ), « objectives »  ( 37 ), qui visent, comme exposé au considérant 35 du RGPD, une information concernant, par exemple, une maladie physique ou mentale, un handicap, un risque de maladie, des antécédents médicaux, un traitement clinique. Elles figurent généralement dans le dossier médical de la personne concernée  ( 38 ). De même, des données qui, bien que non médicales, sont collectées pour être inclues dans le dossier médical, comme c’est le cas des données administratives destinées à figurer dans ce dossier, sont à ce titre visées par le considérant 35 du RGPD comme « données de santé ». En cela, il s’agit de données considérées comme relatives à la santé et qui révèlent des informations sur l’état de santé de la personne concernée.

68.

Dans ce cadre, la notion de « risque de maladie », mentionnée au considérant 35 du RGPD, revêt assurément une certaine importance. Comme il ressort des travaux du groupe de travail « Article 29 », il s’agit ici y compris des données relatives au statut sanitaire potentiel futur d’une personne concernée. Le risque futur de maladie « scientifiquement prouvé ou communément perçu » est ainsi pris en compte et sont citées en exemples la consommation excessive d’alcool ou de tabac ainsi que la consommation de drogue  ( 39 ).

69.

D’autre part, hors contexte médical, une donnée peut concerner la santé, en particulier si la donnée en cause est de nature, même indirectement, à révéler des informations sur l’état de santé physique ou mental passé, présent ou futur d’une personne physique  ( 40 ). C’est la « zone grise »  ( 41 ) de la notion de « donnée de santé », qui pose la question de savoir jusqu’à quel point son lien indirect avec la santé peut conduire à la qualifier comme telle. L’élément déterminant est ici de savoir s’il est possible, à partir des données en cause, de tirer des conclusions sur l’état de santé de la personne concernée, qu’il s’agisse d’un état pathologique ou physiologique, indépendamment de la fiabilité de ces conclusions. Des éléments de contexte peuvent à cet égard être pris en compte  ( 42 ), de même que le lien entre l’information en cause et la capacité d’en déduire un aspect de la santé d’une personne  ( 43 ).

70.

Par exemple, le groupe de travail « Article 29 » a considéré comme une donnée de santé l’information concernant l’appartenance d’une personne à des groupes ayant un objectif lié à la santé tels que « Weight Watchers » ou les « Alcooliques anonymes »  ( 44 ). En outre, une donnée brute issue d’une « mesure de soi » (par exemple le poids ou la pression artérielle enregistrée par une montre connectée) qui ne serait pas en soi une donnée de santé pourrait, combinée à d’autres informations, permettre de tirer des conclusions sur la santé de la personne concernée. Le groupe de travail « Article 29 » précise à cet égard qu’il convient d’effectuer une appréciation au cas par cas : une application qui suit et stocke le nombre de pas effectués pendant quelques jours et supprime ces données après une semaine peut ne pas traiter de « données de santé ». Cependant, une application combinant plusieurs années d’enregistrements quantifiés complets d’un individu (suivi, par exemple, des habitudes de sommeil et d’exercice, registres détaillés de l’alimentation, du poids, de l’indice de masse corporelle, de la pression artérielle et d’autres statistiques vitales, ainsi qu’un agenda d’humeur) est considérée comme traitant des données concernant la santé. Dans ce cas, non seulement les conclusions et les déductions, mais également les données brutes, seront considérées comme des données de santé  ( 45 ).

Application en l’espèce

71.

Dans le litige au principal, la réglementation en cause prévoit que, outre l’indication du nom des sportifs concernés et de la durée de leur suspension, sont divulgués les motifs de cette suspension par le renvoi à la catégorie d’infraction(s) constatée(s). Lorsque l’infraction porte sur une substance ou une méthode interdite, celle-ci est également indiquée dans le communiqué publié sur le site Internet de l’ÖADR  ( 46 ).

72.

Tout d’abord, il y a lieu de rappeler que les infractions aux règles antidopage qui sont divulguées au public sont divisées en plusieurs catégories  ( 47 ).

73.

Je suis d’avis, à l’instar de l’autorité autrichienne de protection des données, que seules les infractions prévues aux catégories 2.1 et 2.2 doivent être examinées au regard de la notion de « données de santé ». En effet, les autres infractions visent des comportements infractionnels qui ne me paraissent pas susceptibles en tant que tels de dévoiler, même indirectement, des informations sur l’état de santé de la personne concernée. Par exemple, l’information selon laquelle un sportif a manqué à son obligation de localisation (infraction de catégorie 2.4) ou a fait du trafic de substances interdites (infraction de catégorie 2.7) ne révèle aucune information sur son état de santé.

74.

Ensuite, il y a lieu de relever que le constat des infractions de catégories 2.1 et 2.2 implique des tests antidopage sur le sportif concerné et l’analyse d’échantillons afin d’y détecter les substances et méthodes interdites. J’ajoute que ces analyses sont effectuées par des professionnels accrédités  ( 48 ) et donc dans un contexte quasi médical, voire médical. Le constat de telles infractions nous renvoie donc à la notion d’« information obtenue lors du test ou de l’examen d’une partie du corps ou d’une substance corporelle » au sens du considérant 35 du RGPD. De telles informations pourraient, dès lors, être considérées comme des données de santé par nature.

75.

À cet égard, certes, le test est effectué en vue de la détection de substances dopantes prises pour améliorer des performances sportives, et le traitement consistant en la divulgation des informations en cause répond à un objectif répressif à l’égard du sportif concerné et dissuasif. Toutefois, rappelons que l’objectif visé n’est pas pertinent au regard de la qualification des données en cause  ( 49 ).

76.

De même, le fait que les substances dopantes ne sont pas des médicaments ne me semble pas convaincant. En effet, d’une part, la notion de « données de santé » n’inclut pas uniquement les données médicales à visée thérapeutique. Au demeurant, certains médicaments sont néfastes pour la santé s’ils sont mal utilisés. D’autre part, la lutte antidopage vise certes à promouvoir l’équité et l’égalité des sportifs, mais elle constitue également une préoccupation de santé  ( 50 ). Or, nombre de substances ou méthodes sont interdites notamment en raison de leurs effets néfastes sur la santé, même si cet effet est variable selon le produit, la quantité absorbée ou la constitution de la personne concernée  ( 51 ).

77.

Dès lors, pour qualifier la donnée en cause, indépendamment du fait que l’objectif recherché par le sportif consiste en l’amélioration de sa performance, on ne saurait, à mon sens, faire abstraction des effets de l’absorption d’une substance interdite sur la santé de ce sportif, que ces effets soient présents ou futurs.

78.

Enfin, il me semble que le fait que le nom de la substance interdite détectée dans l’organisme soit publié en ligne par l’ÖADR est de nature à renseigner le public sur les risques que son absorption peut entraîner pour la santé du sportif en cause.

79.

Certes, la seule mention du nom de la substance interdite, présente dans l’organisme, pourrait être considérée comme insuffisante en soi pour révéler des informations sur l’état de santé, même futur, du sportif concerné. Le contenu même de l’information pourrait, à cet égard, être considéré comme trop succinct, et le lien avec l’état de santé trop indirect, voire trop hypothétique, pour constituer une « donnée de santé » au sens du RGPD. Toutefois, on ne saurait exclure que, combinée à d’autres éléments, cette information puisse, même de manière indirecte, être de nature à révéler, par une opération intellectuelle de rapprochement ou de déduction, des informations sur l’état de santé même futur de la personne concernée.

80.

Dès lors, je suis d’avis que la mention du nom de la substance en cause (ou sa catégorie) donne des indications qui, même peu détaillées, sont de nature à renseigner, quoique de manière indirecte, sur l’état de santé de la personne concernée. Dans le contexte spécifique du RGPD, une telle mention constitue, dans certaines circonstances qu’il incombe à la juridiction de renvoi de vérifier, une « donnée concernant la santé » au sens de l’article 4, point 15, et de l’article 9, paragraphe 1, du RGPD, lus en combinaison avec le considérant 35 de ce règlement.

81.

En revanche, j’estime que tel ne serait pas le cas si la substance interdite en cause (ou sa catégorie) n’était pas mentionnée. En effet, dans ce cas, le lien entre le constat d’une infraction en raison de la présence d’une substance interdite dans l’organisme, d’une part, et les informations sur l’état de santé de la personne concernée, d’autre part, serait impossible à faire, même par une « opération intellectuelle de rapprochement ou de déduction ». Ce lien serait alors, selon moi, trop indirect pour que l’information divulguée puisse entrer dans la catégorie de « données concernant la santé » du RGPD.

Conclusion sur la deuxième question

82.

Je propose donc à la Cour de dire pour droit que l’article 9, paragraphe 1, du RGPD doit être interprété en ce sens que ne constitue pas un traitement d’une donnée concernant la santé, au sens de cette disposition, le fait de divulguer le nom du sportif concerné, la durée de sa suspension et les motifs de cette suspension, sauf si ces motifs incluent le nom de la ou des substance(s) interdite(s) dont la présence a été détectée dans l’organisme du sportif en cause, dès lors que cette indication est de nature à révéler, même indirectement, des informations sur l’état de santé, même futur, du sportif concerné, ce qu’il appartient à la juridiction de renvoi de vérifier. 

Sur la cinquième question

83.

La juridiction de renvoi demande, en substance, si la publication en cause constitue un traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions au sens de l’article 10 du RGPD. Elle précise à cet égard que les sanctions dans le litige au principal comprennent le retrait des titres et des récompenses, ainsi qu’une suspension de plusieurs années ou une interdiction à vie de toutes les compétitions (nationales et internationales). Elle indique en outre que, en vertu de l’article 24, paragraphe 4, de l’ADBG, les organisations sportives ne peuvent pas « avoir recours » à des personnes visées par une suspension en vertu de la législation antidopage et ne peuvent donc pas les employer contre rémunération.

84.

Avant d’analyser la nature des condamnations et infractions antidopage en cause, je rappellerai l’enjeu d’une qualification pénale dans le contexte de l’article 10 du RGPD.

Enjeu de la nature « pénale » des condamnations et infractions au sens de l’article 10 du RGPD

85.

Il y a lieu de rappeler que le législateur de l’Union n’interdit pas le traitement des données à caractère personnel relatives aux condamnations pénales et infractions, mais le soumet à un contrôle renforcé, dans la mesure où il peut avoir une incidence significative sur la vie des personnes concernées, notamment en matière d’atteinte à la réputation ou de discrimination dans d’autres domaines. Un tel traitement ne peut ainsi avoir lieu que « sous le contrôle de l’autorité publique » ou si la législation autorisant ce traitement de données prévoit des « garanties appropriées pour les droits et les libertés des personnes concernées »  ( 52 ). L’article 10 du RGPD réserve cette protection accrue au seul domaine pénal, étant entendu que le terme « pénal » désigne à la fois les « condamnations » et les « infractions »  ( 53 ).

86.

Sont ainsi susceptibles de relever de l’article 10 du RGPD la tenue de registres des condamnations pénales et infractions par des organismes privés  ( 54 ), par exemple dans le cadre de la lutte contre le blanchiment d’argent ou dans le cadre des activités des laboratoires de police scientifique  ( 55 ). On peut également citer l’exemple des traitements de données à caractère personnel par des organismes loueurs de véhicules qui identifient et désignent un conducteur qui aurait enfreint le code de la route.

87.

En l’espèce, la question est donc de savoir si le « casier sportif », mis en ligne par NADA et l’ÖADR, constitue un « registre » de condamnations pénales et infractions tombant dans le champ d’application de l’article 10 du RGPD et impliquant donc une protection renforcée.

Analyse de la nature « pénale » ou non, au sens de l’article 10 du RGPD, des condamnations et infractions antidopage

88.

Selon la jurisprudence de la Cour, la notion d’« infraction pénale », décisive pour déterminer l’applicabilité de l’article 10 du RGPD à des traitements de données à caractère personnel, requiert, dans toute l’Union, une interprétation autonome et uniforme, qui doit être recherchée en tenant compte de l’objectif poursuivi par cette disposition et du contexte dans lequel celle-ci s’insère, sans que soit déterminante à cet égard la qualification donnée par l’État membre concerné à ces infractions, cette qualification pouvant être différente d’un pays à l’autre.

89.

Les trois « critères Engel », adoptés par la Cour  ( 56 ), à savoir la qualification juridique de l’infraction en droit interne, la nature même de l’infraction et le degré de sévérité de la sanction que risque de subir l’intéressé, sont ainsi pertinents pour apprécier le caractère pénal d’une infraction.

90.

S’il appartient à la juridiction de renvoi d’apprécier, à la lumière de ces critères, si les condamnations et infractions en cause au principal présentent une nature pénale au sens de l’article 10 du RGPD, la Cour, statuant sur renvoi préjudiciel, peut toutefois apporter des précisions, visant à guider cette juridiction dans son appréciation  ( 57 ).

91.

J’examinerai donc les infractions et condamnations en cause au regard de ces trois critères.

–

Qualification juridique de l’infraction en droit interne

92.

Il ressort de la demande de renvoi préjudiciel que, en droit autrichien, l’ÖADR mène des procédures disciplinaires pour la fédération sportive compétente. De même, le gouvernement autrichien a souligné, lors de l’audience, que la réglementation antidopage revêt un caractère sui generis dans la mesure où les infractions antidopage sont des violations des règles des fédérations sportives concernées, que les athlètes s’engagent à respecter  ( 58 ), et non des violations de la loi.

93.

La qualification des infractions antidopage en droit national ne va donc pas dans le sens d’une qualification « pénale » au sens de l’article 10 du RGPD.

94.

Cela étant, la portée de ce premier critère Engel doit être relativisée, dès lors que même pour des infractions qui ne sont pas qualifiées de « pénales » par le droit national, un tel caractère peut néanmoins découler de la nature même de l’infraction en question et du degré de sévérité des sanctions que celle-ci est susceptible d’entraîner  ( 59 ). Ceci vaut en particulier en matière de réglementation antidopage, puisque le système trans-étatique mis en place fait intervenir différents acteurs, internationaux et nationaux  ( 60 ), et que les États membres ont intégré le CMA de différentes façons dans leurs systèmes juridiques respectifs. La mise en œuvre de la réglementation antidopage est donc nécessairement diversifiée selon les États, en fonction des différents modèles d’organisations étatiques, même s’il semble que, dans la plupart des États membres, les ONAD n’ont pas de compétences pénales à cet égard  ( 61 ).

95.

Il convient donc d’examiner les deux autres critères Engel.

–

Nature de l’infraction

96.

Ce deuxième critère commande de vérifier si la sanction correspondant à l’infraction en cause poursuit, notamment, une finalité répressive, sans que la seule circonstance qu’elle poursuit également une finalité préventive soit de nature à lui ôter sa qualification de « sanction pénale ». En effet, il est dans la nature même des sanctions pénales qu’elles tendent tant à la répression qu’à la prévention de comportements illicites. En revanche, une mesure qui se limite à réparer le préjudice causé par l’infraction concernée ne présente pas une nature pénale  ( 62 ).

97.

Il ressort de la demande de décision préjudicielle que deux catégories de sanctions correspondent aux infractions antidopage.

98.

Il s’agit, d’une part, du retrait des titres et des récompenses, qui consiste à récupérer les gains afin de les réaffecter aux sportifs qui y auraient eu droit si le sportif sanctionné n’avait pas pris part à la compétition. Une telle sanction semble répondre à la violation de la « règle du jeu » (la « lex sportiva ») et peut être considérée comme visant essentiellement à rétablir la loyauté des compétitions  ( 63 ), même si cela n’enlève rien à son caractère punitif pour le sportif concerné.

99.

Il s’agit, d’autre part, de la suspension de la participation aux compétitions sportives, qui peut être de quelques mois ou de plusieurs années, voire aller, comme c’est le cas d’un des requérants au principal, jusqu’à l’interdiction à vie de toutes les compétitions. Cette suspension peut certes être vue comme le souhait de « mettre au ban » l’athlète fautif afin de l’éloigner ou de l’exclure de la communauté des sportifs et, ce faisant, de préserver l’intégrité de cette communauté. Cependant, elle est également destinée à sanctionner le sportif ayant enfreint les règles antidopage qu’il s’était engagé à respecter, de même qu’à dissuader les autres sportifs d’en faire autant.

100.

La finalité première de ces sanctions antidopage, à tout le moins de la suspension des compétitions, n’apparaît donc pas comme étant de réparer le préjudice subi par des tiers du fait de l’infraction, mais bien de sanctionner le comportement du sportif concerné, ce qui va dans le sens d’une condamnation pénale  ( 64 ). À cet égard, la réglementation antidopage, même si elle n’est pas un corpus de droit pénal, a une vocation répressive  ( 65 ).

101.

Cependant, la qualification « pénale » au titre de ce deuxième critère Engel pourrait susciter des hésitations de deux ordres.

102.

Une première hésitation découle du constat que les procédures disciplinaires ont plutôt été appréhendées sous le volet civil de l’article 6 de la CEDH par la Cour de Strasbourg  ( 66 ), sauf, par exemple, lorsqu’une privation de liberté est encourue et que la sanction revêt un degré de sévérité suffisamment élevé  ( 67 ).

103.

En particulier, la Cour de Strasbourg considère que l’article 6 de la CEDH est applicable dans son volet civil aux « contestations relatives au retrait du droit d’exercer une profession »  ( 68 ), y compris dans le domaine sportif  ( 69 ).

104.

La nature pénale d’une interdiction d’exercer une profession ne va donc pas de soi, tant s’en faut.

105.

Toutefois, il me semble que l’on ne saurait en déduire, ipso facto et de façon absolue, qu’une sanction disciplinaire aboutissant à la suspension des compétitions sportives ne pourrait jamais ressortir à la matière pénale.

106.

En effet, une telle approche apparaîtrait comme purement formelle.

107.

En outre, rappelons que les deux volets, civil et pénal, de l’article 6 de la CEDH ne s’excluent pas nécessairement  ( 70 ).

108.

Enfin, il convient de garder à l’esprit que la Cour de Strasbourg procède à l’examen de la nature pénale ou civile de l’infraction en cause au regard des griefs soulevés devant elle et aux fins d’apprécier si les garanties du procès équitable prévues à l’article 6 de la CEDH s’appliquent dans leur volet civil (paragraphe 1) ou pénal (paragraphes 1 à 3).

109.

En revanche, dans le contexte de l’article 10 du RGPD, il s’agit d’évaluer si la condamnation ou l’infraction est pénale aux fins de déterminer si le traitement en cause (ici la publication) vise une information méritant une protection renforcée impliquant le contrôle d’une autorité publique. À ceci s’ajoute que rien n’interdit d’adopter une interprétation plus large garantissant une protection renforcée des droits et libertés en question  ( 71 ). C’est dans ce contexte de l’article 10 du RGPD qu’il incombe donc à la juridiction de renvoi d’apprécier si les critères Engel, et en particulier le deuxième critère relatif à la nature de l’infraction, sont ou non remplis.

110.

Une seconde hésitation provient du fait que les infractions et condamnations antidopage ne visent qu’un groupe particulier de personnes, à savoir les sportifs, à l’instar des sanctions disciplinaires qui ont en général pour but d’assurer le respect, par ses membres, de règles de comportement, propres au groupe en question  ( 72 ). De telles dispositions sont destinées à protéger l’honneur et la réputation de la profession et à maintenir la confiance du public dans cette profession  ( 73 ).

111.

Certes, un tel constat permettrait de qualifier l’infraction de « disciplinaire » au sens où elle s’applique à un certain nombre de personnes visées par un corps de règles spécifiques. En cela, la présente affaire se distingue de l’affaire ayant donné lieu à l’arrêt Latvijas Republikas Saeima, dans laquelle l’attribution des points de pénalité pour des infractions routières reposait sur un texte d’application générale  ( 74 ).

112.

Toutefois, la qualification d’« infraction pénale » au sens de l’article 10 du RGPD n’est pas pour autant exclue. En effet, si la portée moins large, propre aux réglementations disciplinaires, suffisait pour empêcher la qualification « pénale » de l’infraction, on serait, là encore, renvoyés à une approche purement formelle de la notion. Une telle approche se concilie mal avec la jurisprudence qui impose à cet égard de rechercher la finalité répressive ou préventive de la sanction pour définir la nature de l’infraction, par opposition à un objectif purement réparateur.

113.

Or, en l’occurrence, comme précédemment évoqué  ( 75 ), les condamnations antidopage n’ont pas pour objet de réparer des préjudices éventuellement causés par les infractions en question (ou pas uniquement si l’on considère le préjudice causé à la communauté des sportifs), mais poursuivent, au contraire, une finalité répressive qui est de nature à leur conférer une qualification de condamnation « pénale » au sens de l’interprétation de ce deuxième critère par la jurisprudence, indépendamment du caractère général ou non du texte applicable. Je relève d’ailleurs que le Tribunal arbitral du sport (Suisse), institution internationale proposant un arbitrage ou une médiation dans le monde du sport, lui-même reconnaît, lorsqu’il y a lieu, la nature « quasi pénale » des sanctions antidopage  ( 76 ).

114.

Au surplus, certaines infractions antidopage, comme le trafic de substances interdites, peuvent donner lieu à des sanctions relevant à la fois de la réglementation antidopage et de la réglementation pénale nationale. Certes, la Cour de Strasbourg a estimé que le fait que des actes susceptibles de conduire à une sanction disciplinaire constituent également des infractions pénales n’est pas suffisant pour considérer qu’une personne responsable selon le droit disciplinaire est « accusée » d’une infraction pénale  ( 77 ). Il me semble cependant que cela pourrait constituer un élément à prendre en compte dans le cadre du deuxième critère Engel.

115.

Dès lors, en dépit des réserves exprimées, j’estime à ce stade qu’il ne saurait être exclu que, au vu de leur nature répressive ou préventive, certaines infractions antidopage puissent être considérées comme étant de nature pénale au sens de l’article 10 du RGPD.

–

Degré de sévérité de la sanction

116.

Ce troisième critère Engel doit être apprécié en fonction de la peine maximale encourue, prévue par les dispositions pertinentes  ( 78 ).

117.

Or, ce degré de sévérité varie en fonction de l’infraction antidopage commise. Par exemple, la durée de la suspension encourue varie selon les infractions antidopage en cause. De même, la récidive et l’intention de l’auteur peuvent également jouer un rôle à cet égard  ( 79 ).

118.

Il ressort de la demande de renvoi préjudiciel que, en l’occurrence, il peut s’agir « d’une suspension de plusieurs années ou d’une interdiction à vie de toutes les compétitions (nationales et internationales) », ce qui peut donc aboutir à une interdiction définitive d’exercer la profession de sportif.

119.

Il ne s’agit certes pas d’une peine privative de liberté. Cependant, cela n’est pas déterminant, car « la faiblesse de l’enjeu ne saurait ôter à une infraction son caractère pénal intrinsèque »  ( 80 ). En outre, la carrière de sportif professionnel de la personne concernée est susceptible, selon la durée de la suspension, de prendre fin, notamment compte tenu de l’âge des personnes concernées et du constat que la carrière est, dans certains sports en particulier, relativement courte.

120.

À cette suspension, possiblement « à vie », s’ajoute l’impossibilité en pratique de retrouver un emploi dans le domaine sportif, compte tenu de l’interdiction d’association avec une personne suspendue pendant toute la durée de sa suspension.

121.

Aux conséquences économiques et financières pour la personne concernée, s’ajoutent enfin une désapprobation de la société et une stigmatisation tant dans la sphère publique que dans la sphère privée.

122.

Il en résulte, à mon avis, qu’une telle sanction revêt une gravité susceptible d’avoir un effet équivalant à une condamnation pénale au sens de l’article 10 du RGPD, ce qu’il incombe toutefois à la juridiction de renvoi d’apprécier dans chaque cas particulier.

123.

En conséquence, je suis d’avis que, en principe, les infractions et condamnations antidopage devraient être considérées comme relevant du domaine disciplinaire, sauf dans les cas où la condamnation est d’une sévérité telle qu’elle ressortit à la matière pénale. Une telle appréciation, qui ne saurait être remise en cause par la seule qualification en droit interne, s’inscrit par ailleurs dans le cadre de l’objectif répressif et préventif de la condamnation qui confère une nature pénale à l’infraction commise. Dans ce contexte, une suspension à vie de participer à toute compétition pourrait donc, à mon sens, constituer une sanction ayant un effet équivalant à une sanction pénale, de nature à déclencher l’applicabilité de l’article 10 du RGPD.

124.

Enfin, j’ajoute que l’argument de NADA, mettant en garde contre les implications, pour l’ensemble des ordres professionnels, qu’entraînerait l’application de l’article 10 du RGPD aux traitements de données relatives à des infractions et condamnations disciplinaires, ne me convainc pas. En effet, il n’est pas question ici de « criminaliser » de façon générale et abstraite toutes les infractions et condamnations disciplinaires. L’analyse qui précède a montré que l’appréciation doit s’effectuer en fonction des circonstances de chaque cas d’espèce et en vue de l’interprétation de l’article 10 du RGPD qui, en présence d’un « registre » de condamnations et d’infractions tombant dans son champ d’application, impose une protection renforcée. Au demeurant, la base légale des traitements de données relatives à de telles infractions et condamnations qualifiées de « pénales » peut également résider dans la législation, de l’Union ou des États membres, prévoyant les « garanties appropriées ».

Conclusion sur la cinquième question

125.

J’estime qu’il convient de répondre à la cinquième question que l’article 10 du RGPD doit être interprété en ce sens qu’il est susceptible de s’appliquer aux traitements de données à caractère personnel relatives aux condamnations ou infractions prévues par la réglementation nationale antidopage, dès lors que, indépendamment de la qualification de ces infractions en droit interne, les condamnations qu’elles impliquent poursuivent une finalité répressive et présentent un degré de sévérité tel qu’elles ont un effet équivalant à une sanction pénale, ce qu’il appartient à la juridiction de renvoi de vérifier.

Sur la sixième question

126.

En cas de réponse affirmative à la cinquième question, la juridiction de renvoi demande si les activités ou les décisions d’une autorité, à laquelle le contrôle du traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes ont été confiées conformément à l’article 10 du RGPD, sont soumises à un contrôle juridictionnel.

127.

Premièrement, précisons que l’autorité en cause est l’« autorité publique » au sens de l’article 10 du RGPD, qui ne saurait être confondue avec l’« autorité de contrôle », au sens de l’article 51 du RGPD  ( 81 ). Rappelons également que le traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ne peut être effectué que sous le contrôle de l’autorité publique, ou si le traitement est autorisé par le droit de l’Union ou par le droit d’un État membre qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées  ( 82 ). La réponse à cette question est donc à mettre en relation avec les réponses aux troisième et quatrième questions préjudicielles, examinées plus loin  ( 83 ).

128.

Deuxièmement, il convient de constater que le RGPD ne contient pas de définition de la notion d’« autorité publique » ou de « contrôle de l’autorité publique » au sens de l’article 10 de ce règlement. Il incombe à cet égard aux États membres de déterminer quel organisme exerce le contrôle d’« autorité publique » en cas de traitement de données à caractère personnel au sens de l’article 10 du RGPD. Comme l’indique la Commission, il n’est pas exclu que plusieurs services puissent être considérés comme tels et il ne s’agit pas nécessairement du « responsable du traitement ».

129.

Troisièmement, il est vrai que la lettre de l’article 10 du RGPD ne prévoit pas en tant que tel un contrôle juridictionnel des activités ou décisions de cette « autorité publique ». Cela étant, l’interprétation contextuelle de cette disposition plaide en faveur d’un tel contrôle si les personnes concernées entendent faire valoir leurs droits. En effet, à l’instar de plusieurs parties intéressées, je suis d’avis que le contrôle des actes en matière de traitement des données à caractère personnel, y compris lorsque ce contrôle fait suite à une décision d’une autorité publique au sens de l’article 10 du RGPD, doit être conforme à l’article 79, paragraphe 1, du RGPD, même si la juridiction de renvoi n’y fait pas référence dans sa question. En vertu de cette disposition, sans préjudice de tout recours administratif ou extrajudiciaire, y compris le droit d’introduire une réclamation auprès d’une autorité de contrôle au titre de l’article 77 de ce règlement, chaque personne concernée a droit à un recours juridictionnel effectif si elle considère que les droits que lui confère ledit règlement ont été violés du fait d’un traitement de ses données à caractère personnel effectué en violation de ce même règlement. Au demeurant, comme le souligne le gouvernement finlandais, l’existence même d’un contrôle juridictionnel effectif destiné à assurer le respect du droit de l’Union est inhérente à un État de droit.

130.

Quatrièmement, une telle interprétation est confirmée par l’objectif visé par l’article 10 du RGPD, à savoir assurer une protection accrue à l’encontre de traitements qui, en raison de la sensibilité particulière des données en cause, sont susceptibles de constituer une ingérence particulièrement grave dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel  ( 84 ). Une interprétation de l’article 10 du RGPD qui exclurait, a priori et de façon générale, les activités ou décisions d’une autorité publique au sens de cette disposition de tout contrôle juridictionnel irait à l’encontre de ces finalités.

131.

Dans ces conditions et en l’absence de davantage de précisions sur les activités ou décisions de l’autorité publique en cause, j’estime qu’il convient de répondre à la sixième question que l’article 10 du RGPD, lu à la lumière de l’article 79, paragraphe 1, de ce règlement, doit être interprété en ce sens que les activités ou décisions d’une autorité à laquelle le contrôle du traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes a été confié en vertu de cette disposition doivent pouvoir faire l’objet d’un contrôle juridictionnel.

Sur les troisième et quatrième questions

132.

Dans le cadre de ces deux questions, qui peuvent être examinées conjointement, la juridiction de renvoi demande, en substance, premièrement, si l’article 5, paragraphe 1, sous a) et c), et l’article 6 paragraphe 3, deuxième alinéa, du RGPD peuvent être interprétés comme s’opposant à une obligation, imposée par la loi nationale aux organismes nationaux antidopage, de publier les données à caractère personnel concernées, à savoir en particulier le nom des sportifs sanctionnés pour violation de la réglementation antidopage, la durée de la suspension infligée et ses motifs.

133.

Elle demande, deuxièmement, si le RGPD exige, avant la publication, une mise en balance au cas par cas des intérêts en présence par le responsable du traitement ou si le contrôle de proportionnalité prévu par le législateur est suffisant.

Sur la proportionnalité de la publication en cause

134.

Le législateur national a prévu, dans l’ADBG, la publication de certaines données (nom du sportif, durée et motifs de la suspension), à titre gratuit  ( 85 ), à l’attention de l’organisation fédérale du sport, des organisations sportives, des sportifs, des autres personnes (personnel d’encadrement), des organisateurs de compétitions, ainsi que du grand public, sans qu’il soit possible de remonter à des données de santé. Il est également prévu que les informations à publier ne peuvent être omises à l’intention du grand public que si la personne concernée est un sportif amateur, particulièrement vulnérable (personne mineure) ou une personne ayant contribué de manière significative à la détection de violations potentielles des règles antidopage en communiquant des informations ou d’autres indications. Sauf erreur de ma part, dans ce cas, ni la mention de la substance interdite éventuellement en cause ni la publication par mise en ligne sur Internet ne sont explicitement prévues par l’ADBG.

135.

En pratique, NADA et l’ÖADR ont mis en œuvre cette législation par l’intermédiaire d’une publication par Internet pour les sportifs professionnels, avec mention de la substance interdite éventuellement en cause en ce qui concerne la publication par l’ÖADR.

–

Observations liminaires et rappel des principes

136.

Rappelons que l’objectif poursuivi par le RGPD, tel qu’il ressort de son article 1er ainsi que de ses considérants 1 et 10, consiste, notamment, à garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques, en particulier de leur droit à la vie privée à l’égard du traitement des données à caractère personnel, consacré à l’article 8, paragraphe 1, de la Charte et à l’article 16, paragraphe 1, TFUE et étroitement lié au droit au respect de la vie privée, consacré à l’article 7 de la Charte.

137.

À cet égard, les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, garantis aux articles 7 et 8 de la Charte, ne sont pas des prérogatives absolues. Des limitations peuvent ainsi être apportées, pourvu que, conformément à l’article 52, paragraphe 1, de la Charte, elles soient prévues par la loi et qu’elles respectent le contenu essentiel des droits fondamentaux ainsi que le principe de proportionnalité  ( 86 ).

138.

En l’occurrence, la publication des données à caractère personnel des sportifs concernés est effectuée sur le fondement d’une obligation légale imposée aux responsables du traitement par la loi nationale  ( 87 ).

139.

Partant, ce traitement de données peut être regardé comme relevant de l’hypothèse visée à l’article 6, paragraphe 1, sous c), du RGPD, qui prévoit qu’est licite le traitement qui est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis. Compte tenu de ce que la lutte antidopage pourrait être considérée comme l’exécution d’une mission d’intérêt public  ( 88 ), le traitement en cause peut également relever de l’hypothèse visée à l’article 6, paragraphe 1, sous e), du RGPD. Il n’est toutefois pas nécessaire de décider laquelle de ces conditions de licéité est applicable en l’espèce ou si les deux s’appliquent  ( 89 ).

140.

L’article 6, paragraphe 3, du RGPD précise, à l’égard de ces deux hypothèses de licéité du traitement, visées à l’article 6, paragraphe 1, sous c) et e), du RGPD, que ledit traitement doit être fondé sur le droit de l’Union ou sur le droit de l’État membre auquel le responsable du traitement est soumis et que cette base juridique doit répondre à un objectif d’intérêt public et être proportionnée à l’objectif légitime poursuivi.

141.

De même, tout traitement de données à caractère personnel doit notamment être conforme aux principes énoncés à l’article 5, paragraphe 1, du RGPD, et en particulier aux principes de licéité et de « minimisation des données », figurant respectivement aux points a) et c) de cette disposition. Selon le principe de minimisation, les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées, ce qui donne expression au principe de proportionnalité  ( 90 ).

142.

Les questions posées par la juridiction de renvoi impliquent donc de vérifier si la législation nationale, en tant que base légale du traitement en cause, satisfait aux exigences découlant de ces dispositions, à savoir qu’elle répond à un objectif d’intérêt public et est proportionnée à l’objectif légitime poursuivi.

143.

En l’occurrence, dans le cadre de la lutte contre le dopage dans le sport, qui est assurément un objectif d’intérêt public, des sanctions sont adoptées en cas d’infractions aux règles antidopage. S’y ajoute la divulgation au grand public des données à caractère personnel en cause, laquelle poursuit deux objectifs, tout aussi légitimes, évoqués par les parties intéressées et par le gouvernement autrichien lors de l’audience. D’une part, il s’agit de dissuader les sportifs de commettre des violations des règles antidopage et ainsi de prévenir le dopage dans le sport. D’autre part, il s’agit d’éviter le contournement des règles antidopage en informant toutes les personnes susceptibles de parrainer ou d’engager le sportif en cause qu’il est suspendu  ( 91 ).

144.

Il y a donc lieu, pour la juridiction de renvoi, de vérifier si la réglementation nationale prévoyant le traitement en cause, telle que mise en œuvre par NADA et l’ÖADR, est apte à contribuer à la réalisation des objectifs d’intérêt général qu’elle poursuit, nécessaire et proportionnée à ces objectifs, la Cour étant compétente pour lui fournir les éléments d’interprétation utiles.

–

Sur l’aptitude de la publication à atteindre les objectifs visés

145.

Il me semble que la publication des données en cause peut être considérée sans trop de difficultés comme étant apte à atteindre les deux objectifs visés.

146.

Premièrement, en effet, le fait de publier le nom du sportif sanctionné ainsi que les raisons et la durée de sa suspension informe le grand public que le dopage ne reste pas impuni et qu’il s’accompagne non seulement de sanctions, mais également d’une publication nominative de la sanction de suspension. Cela est de nature à inciter le public, et parmi eux les sportifs, professionnels ou amateurs, à s’abstenir d’enfreindre les règles antidopage et répond donc à l’objectif de dissuasion et de prévention.

147.

Deuxièmement, la publication de cette suspension permet également d’informer les personnes qui pourraient souhaiter employer le sportif concerné à quelque titre que ce soit en rapport avec le sport qu’il est suspendu et n’est pas censé exercer de fonctions sportives. Ajoutons que le fait de s’associer à un sportif suspendu constitue également une violation de la réglementation antidopage  ( 92 ). Une telle publication peut ainsi contribuer à éviter que de telles infractions soient commises par ignorance.

148.

En revanche, je ne vois pas en quoi la mention de la substance interdite éventuellement en cause, non expressément prévue par la loi nationale, mais publiée par l’ÖADR, permet d’atteindre les objectifs visés. En effet, ni l’objectif de dissuasion ni celui d’éviter le contournement des règles antidopage ne nécessitent de détailler à ce point l’infraction constatée.

–

Sur la nécessité de la publication au vu des objectifs visés

149.

Conformément au considérant 39 du RGPD, vérifier la nécessité du traitement en cause au regard des objectifs visés implique de vérifier s’il n’existe pas des mesures alternatives qui soient moins attentatoires aux droits au respect de la vie privée et à la protection des données à caractère personnel garantis aux articles 7 et 8 de la Charte, mais tout aussi efficaces pour atteindre l’objectif invoqué  ( 93 ).

150.

Premièrement, concernant l’objectif de dissuasion, la divulgation au public du nom des sportifs concernés ne me semble pas absolument nécessaire dans tous les cas.

151.

Certes, la dissuasion est d’autant plus efficace si, notamment dans le cas d’un sportif célèbre, les sanctions s’accompagnent de la divulgation de son nom. Une responsabilité particulière s’impose en la matière aux sportifs de haut niveau et jouissant d’une certaine notoriété, la divulgation de leur nom pouvant donc s’avérer d’autant plus pertinente au regard de l’objectif visé.

152.

Cependant, pour les sportifs professionnels ne relevant pas des exceptions prévues par l’ADBG, la législation nationale prévoit une divulgation nominative automatique, dont la portée est rendue illimitée par la publication en ligne  ( 94 ), et ce sans égard aux circonstances particulières liées aux circonstances individuelles (notoriété du sportif, niveau de compétition, récidive, caractère intentionnel, etc.). Dans cette mesure, je suis d’avis que, par leur caractère général, ces dispositions nationales sont susceptibles d’aller au-delà de ce qu’exige la prévention du dopage par la dissuasion.

153.

Deuxièmement, concernant l’objectif visant à empêcher le contournement de l’interdiction de s’associer à une personne suspendue, il implique de savoir de quel sportif il s’agit. Cela rend donc nécessaire la divulgation du nom de la personne suspendue. À cet égard, il ressort de la demande de décision préjudicielle que, selon l’article 1er, paragraphe 2, point 8, de l’ADBG, peut constituer une infraction antidopage le fait pour un sportif d’avoir un contact avec un membre du personnel d’encadrement visé par une interdiction ou une sanction.

154.

Cela étant, la portée illimitée de la publication, liée à la mise en ligne sur Internet, me paraît aller au-delà de ce qui est nécessaire  ( 95 ).

155.

En effet, cet objectif d’éviter le contournement des règles semble essentiellement s’appliquer dans le monde sportif  ( 96 ) et s’adresser aux personnes chargées de faire respecter les sanctions ou responsables d’organismes sportifs ou d’association sportives. Une diffusion plus restreinte de l’identité du sportif en cause semblerait, dans ce contexte, atteindre l’objectif de façon efficace et moins attentatoire à la protection des données à caractère personnel. D’ailleurs, NADA a expliqué à l’audience que, pour certaines catégories de sportifs de moindre niveau, l’information de la suspension peut se faire par l’intermédiaire des fédérations.

156.

Concernant des opérateurs économiques ou employeurs hors du monde sportif, une publication plus limitée ne leur permettrait certes pas de savoir que le sportif en cause est suspendu et qu’il leur est interdit de s’associer à lui. Cependant, pour autant qu’une telle personne non informée se verrait reprocher une association avec une personne suspendue (sportif ou autre personne), il me semble que les règles en matière de charge de la preuve permettraient, dans ce cas, de vérifier si cette « association » était ou non consciente et intentionnelle  ( 97 ). Inversement, le fait de publier sur Internet la suspension, associée au nom de la personne suspendue en cause, me semble finalement aboutir à mettre à la charge de tout un chacun la responsabilité de vérifier si la personne avec qui il contracte ou s’associe est ou non suspendue. Cette suspicion généralisée, induite par la publication en ligne du « casier sportif », me semble aller au-delà de l’objectif visé.

157.

J’ajoute que le choix d’une publication en ligne par NADA et l’ÖADR est de nature à porter davantage atteinte au droit à la vie privée, en particulier compte tenu de sa portée urbi et orbi  ( 98 ). C’est également l’avis du groupe de travail « Article 29 », qui souligne le risque d’utilisation à d’autres fins ou de traitements ultérieurs des données publiées en ligne, plus intrusives  ( 99 ).

158.

Selon moi, une publication nominative, mais limitée aux organismes pertinents et fédérations sportives, accompagnée par exemple d’une publication sur Internet pseudonymisée, permettrait d’atteindre les deux objectifs visés de façon moins attentatoire à la protection des données personnelles et de façon plus conforme au principe de minimisation des données.

159.

J’ajoute que l’argument avancé par NADA, fondé sur la comparaison avec la publication des sanctions dans le cadre d’autres professions, comme les avocats ou professions de santé, ne me convainc pas. En effet, comme indiqué à cet égard par le gouvernement néerlandais, la publication des noms d’avocats ou de médecins suspendus paraît nécessaire, car tout un chacun peut être un justiciable ou un patient, alors que, dans le cadre du dopage, il suffit que le nom du sportif concerné soit connu dans le milieu sportif, par les fédérations sportives concernées, sauf hypothèses particulières à apprécier au cas par cas.

160.

En conséquence, j’éprouve de sérieux doutes sur la nécessité du traitement en cause au regard des objectifs poursuivis.

–

Sur la proportionnalité « stricto sensu », à savoir la mise en balance des intérêts en présence

161.

Pour apprécier la proportionnalité du traitement concerné, il y a lieu de procéder à une mise en balance des différents droits, libertés ou intérêts en jeu. En effet, un objectif d’intérêt général ne saurait être poursuivi sans tenir compte du fait qu’il doit être concilié avec les droits fondamentaux concernés, ce qui implique, en l’espèce, d’effectuer une pondération équilibrée entre, d’une part, l’objectif d’intérêt général visé et, d’autre part, les droits de la personne dont les données à caractère personnel sont divulguées  ( 100 ).

162.

J’ajoute qu’il convient, dans le cadre de cette analyse, d’avoir égard aux réponses que la Cour apportera à la deuxième question préjudicielle concernant l’existence de données de santé au sens de l’article 9 du RGPD et à la cinquième question préjudicielle concernant les données relatives à des condamnations pénales ou infractions, relevant de l’article 10 du RGPD. En effet, le respect du principe de « minimisation » de données sensibles au sens de l’article 9 du RGPD ne s’oppose pas à ce que des données à caractère personnel soient communiquées au public lorsque cette communication est nécessaire et proportionnée  ( 101 ). Il en va de même lorsque les données en question relèvent de l’article 10 du RGPD, pourvu que la législation autorisant cette communication prévoie des garanties appropriées pour les droits et les libertés des personnes concernées  ( 102 ). Cela étant, concernant des données relevant de ces deux dispositions, les intérêts des personnes concernées revêtent une importance particulière dans l’exercice de pondération des intérêts en présence  ( 103 ).

163.

En l’espèce, le traitement en cause, qui inclut la publication en ligne de l’identité du sportif concerné, constitue une ingérence importante dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel et est de nature à provoquer la désapprobation de la société et à entraîner la stigmatisation de la personne concernée. C’est d’ailleurs l’effet de « pilori électronique » voulu ici.

164.

La gravité de cette ingérence doit ainsi être mise en balance avec l’importance des objectifs visés par la publication.

165.

Je relève que la question de la juridiction de renvoi porte sur la publication prévue par l’ADBG, telle que mise en œuvre par NADA et l’ÖADR, pour les sportifs professionnels n’entrant pas dans les exceptions prévues (lesquelles concernent les sportifs amateurs, les personnes vulnérables et les « lanceurs d’alerte »). La publication à leur égard consiste en une publication nominative qui est à la fois illimitée dans sa portée puisqu’elle est diffusée par Internet au grand public, illimitée parfois dans sa durée dans le cas des suspensions à vie (qui concerne l’un des requérants au principal), systématique et automatique, qui n’implique aux termes de l’ADBG aucune appréciation individuelle en fonction des circonstances.

166.

Avec toute la prudence que cette dimension du contrôle de proportionnalité requiert toujours  ( 104 ), j’ai tendance à penser que la combinaison de ces différents éléments (caractère nominatif, illimité, systématique et automatique de la publication) est susceptible d’aboutir dans certaines circonstances à une ingérence dans les droits à la protection des données à caractère personnel des personnes en cause telle qu’elle ne satisfait pas aux exigences d’une pondération équilibrée entre les différents intérêts en présence.

167.

Par exemple, dans le cas d’une sanction de suspension longue  ( 105 ), voire à vie, d’un athlète peu connu, dont la vie sportive professionnelle a pris fin depuis un certain temps, on pourrait considérer que la publication licite de ses données à caractère personnel devient, avec le temps, excessive au regard des finalités visées.

168.

NADA soutient qu’il convient de ne procéder à aucune différenciation selon la gravité ou le caractère répété des violations commises, au motif que cela est pris en compte au stade de la sanction et n’a pas d’incidence sur la publication, qui doit avoir lieu indépendamment des circonstances. Cet argument ne me convainc pas. En effet, la publication répond à des objectifs qui, s’ils s’inscrivent dans le cadre de la lutte antidopage, sont spécifiques et impliquent une mise en balance des intérêts en présence permettant de prendre en compte les exigences du RGPD, non considérées au stade de la sanction antidopage.

169.

Dès lors, je suis d’avis qu’une obligation de publication de données à caractère personnel, telle que celle résultant de l’ADBG et mise en œuvre par l’ÖADR et NADA, n’est admissible que pour autant que, eu égard aux objectifs visés de dissuasion et d’éviter le contournement des règles antidopage, elle demeure proportionnée, notamment en matière de portée et de durée de publication, compte tenu des circonstances spécifiques en cause, ce qu’il appartient à la juridiction de renvoi de vérifier.

Sur le moment de la mise en balance

170.

La juridiction de renvoi demande si le RGPD exige, avant la publication, une mise en balance au cas par cas des intérêts en présence par le responsable du traitement ou si le contrôle de proportionnalité prévu par le législateur est suffisant.

171.

En l’espèce, le législateur a envisagé des situations prédéfinies indépendamment des circonstances propres à chaque cas individuel, en évoquant les éléments de la publication et en réservant toutefois certaines exceptions. Il a, ce faisant, d’ores et déjà encadré la publication et effectué une certaine mise en balance de l’intérêt des sportifs dont les données à caractère personnel sont divulguées, d’une part, et des intérêts liés à la lutte antidopage, d’autre part.

172.

Je relève cependant que, en tant que responsables du traitement désignés par le législateur national, les organismes nationaux antidopage en cause (ici NADA et l’ÖADR) demeurent, en application de l’article 5, paragraphe 2, du RGPD, en charge de la mise en œuvre du traitement et responsables (« accountable ») du respect des principes de licéité et de proportionnalité de ce traitement, ainsi que du respect du principe de minimisation. Ils doivent d’ailleurs être en mesure de démontrer que le paragraphe 1 de cette disposition est respecté.

173.

Ils doivent également, en vertu de l’article 24, paragraphe 1, et de l’article 25, paragraphe 1, du RGPD, mettre en œuvre des mesures techniques et organisationnelles appropriées (telles que la pseudonymisation), tant au moment de la détermination des moyens du traitement qu’au moment du traitement lui-même. Ces mesures, qui doivent être réexaminées et actualisées si nécessaire, sont destinées à mettre en œuvre les principes relatifs à la protection des données de façon effective et à assortir le traitement des garanties nécessaires afin de répondre aux exigences du RGPD et de protéger les droits de la personne concernée  ( 106 ).

174.

Je relève d’ailleurs que, en l’espèce, même si le législateur a déterminé les finalités du traitement ainsi que, en partie, les moyens de ce traitement, ce sont NADA et l’ÖADR qui, en tant que responsables du traitement et en charge de sa mise en œuvre, ont opté pour une publication par Internet, l’ÖADR ayant également opté pour une publication du nom de la substance interdite éventuellement en cause.

175.

Dans ce contexte, la réponse à la question posée me paraît liée au contenu et au degré de précision de la loi nationale applicable au responsable du traitement. Il me semble que le fait que le législateur national ait prévu le principe de publication n’exempte pas le responsable du traitement de sa responsabilité en matière de respect des exigences du RGPD et de protection des droits des personnes concernées. Cela peut impliquer de sa part que, dans le cadre de l’application de la législation nationale, il prenne en compte des circonstances spécifiques à l’affaire  ( 107 ). D’ailleurs, je note que cette mise en balance au cas par cas lui incombe en l’espèce pour les publications de données concernant les sportifs suspendus relevant des exceptions mentionnées dans l’ADBG.

176.

Partant, je suis d’avis que les dispositions précitées du RGPD, si elles ne l’exigent pas dans tous les cas, peuvent impliquer que le responsable du traitement effectue une mise en balance au cas par cas des intérêts en présence lorsqu’il détermine notamment les moyens du traitement, donc y compris avant la publication. À cet égard, pourraient être pris en compte des éléments tenant à la nature, à la portée, au contexte et aux finalités du traitement ainsi qu’aux risques, dont le degré de probabilité et de gravité peut varier, pour les droits et libertés desdites personnes.

177.

Ni l’argument selon lequel une telle marge d’appréciation du responsable du traitement risque d’aboutir à une discrimination entre des sportifs se trouvant dans des situations comparables, ni le risque d’arbitraire, d’abus, voire de corruption, évoqués notamment par la Commission et NADA, ne peuvent justifier de renoncer à une telle mise en balance au cas par cas, destinée à traiter les données à caractère personnel de manière conforme au RGPD. Une telle mise en balance peut en effet précisément éviter la discrimination qui pourrait résulter de l’application d’un traitement identique à des situations différentes.

178.

Il s’ensuit, selon moi, que les articles 5 et 6 du RGPD, lus à la lumière de l’ensemble des obligations et responsabilités incombant au responsable du traitement, doivent être interprétés comme ne s’opposant pas à une mise en balance au cas par cas des intérêts en présence par le responsable du traitement avant ce traitement de données, voire, dans certaines circonstances, comme exigeant une telle mise en balance si elle s’impose pour traiter les données à caractère personnel de manière conforme au RGPD.

Conclusion sur les troisième et quatrième questions

179.

Eu égard à ce qui précède, je propose à la Cour de répondre à la troisième question que l’article 5, paragraphe 1, sous a) et c), et l’article 6, paragraphe 3, deuxième alinéa, du RGPD doivent être interprétés en ce sens qu’ils s’opposent à une obligation, imposée aux organismes nationaux antidopage, de publier des données à caractère personnel, telles que le nom des sportifs sanctionnés pour violation de la réglementation antidopage, la durée de la suspension infligée et ses motifs (en particulier le nom de la substance interdite), lorsque, compte tenu des circonstances spécifiques en cause, l’exigence de proportionnalité n’est pas ou plus remplie, notamment en matière de portée et de durée de publication, ce qu’il appartient à la juridiction de renvoi de vérifier.

180.

En ce qui concerne la quatrième question, je propose à la Cour de considérer que les articles 5 et 6 du RGPD, lus à la lumière de l’ensemble des obligations et responsabilités incombant au responsable du traitement, doivent être interprétés en ce sens qu’ils exigent que ce dernier effectue, avant le traitement de données, une mise en balance au cas par cas des intérêts en présence si celle-ci s’impose pour traiter les données à caractère personnel de manière conforme au RGPD.

Sur la septième question

181.

Pour comprendre la septième question, il convient de rappeler le contexte dans lequel elle est posée. La requérante YT, avant même que ses données à caractère personnel n’aient été publiées sur les sites Internet de NADA et de l’ÖADR, a formé une réclamation auprès de l’autorité autrichienne de protection des données fondée sur l’article 17 du RGPD prévoyant le droit à l’effacement. Cette dernière autorité a rejeté la réclamation de YT, les données en cause n’ayant encore pas été publiées. La publication de ces données est ensuite intervenue au cours de la procédure de recours contre le rejet de sa réclamation par l’autorité autrichienne de protection des données.

182.

Par sa septième question, la juridiction de renvoi demande, premièrement, si une réclamation, effectuée au titre de l’article 77 du RGPD concernant une violation alléguée du droit à l’effacement (article 17 du RGPD), est recevable alors que le traitement de données à caractère personnel de la personne concernée n’avait pas encore eu lieu au moment de l’introduction de sa réclamation auprès de l’autorité de contrôle et au moment où cette dernière a pris une décision.

183.

Elle s’interroge, deuxièmement, sur la recevabilité d’une telle réclamation a posteriori si, au moment de l’introduction de la réclamation, il existait déjà des indices concrets qu’un traitement de données à caractère personnel par le responsable du traitement était imminent ou aurait lieu dans un avenir proche.

La réclamation auprès de l’autorité de contrôle avant le traitement de données est-elle recevable ?

184.

L’article 77, paragraphe 1, du RGPD prévoit que toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle « si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement ».

185.

Conformément à une jurisprudence constante de la Cour, je tiendrai compte, pour interpréter cette disposition, non seulement de ses termes, mais également de son contexte et des objectifs poursuivis par la réglementation dont elle fait partie  ( 108 ).

186.

Premièrement, le texte de l’article 77 du RGPD n’impose pas de délai pour introduire une réclamation concernant un traitement de données à caractère personnel. Dans les cas où le traitement a eu lieu puis est contesté, plus la réclamation est déposée tôt, plus le contrôle par l’autorité peut avoir lieu rapidement et plus tôt la protection de la personne concernée peut être assurée  ( 109 ). En revanche, le texte de l’article 77, paragraphe 1, du RGPD ne prévoit pas l’hypothèse dans laquelle le traitement n’a pas encore eu lieu. Je relève, à cet égard, que cette disposition emploie le terme « constitue » au présent, ce qui semble impliquer que le traitement doit déjà avoir eu lieu, mais que l’hypothèse d’un traitement à venir n’est pas, en tant que telle, exclue  ( 110 ).

187.

Deuxièmement, au titre des éléments de contexte, il y a lieu d’évoquer les missions et pouvoirs des autorités de contrôle. À cet égard, en vertu de l’article 57, paragraphe 1, sous f), du RGPD, chaque autorité de contrôle est tenue de traiter les réclamations introduites par toute personne concernée, d’examiner l’objet de la réclamation dans la mesure nécessaire et d’informer l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable. L’autorité de contrôle doit ainsi procéder au traitement d’une telle réclamation « avec toute la diligence requise »  ( 111 ).

188.

De plus, l’article 58, paragraphe 1, du RGPD investit chaque autorité de contrôle d’importants pouvoirs d’enquête aux fins de traiter les réclamations introduites. Lorsqu’une telle autorité constate, à l’issue de son enquête, une violation des dispositions de ce règlement, elle est tenue de réagir de manière appropriée afin de remédier à l’insuffisance constatée. À cet effet, l’article 58, paragraphe 2, du RGPD énumère les différentes mesures correctrices que l’autorité de contrôle peut adopter et elle dispose à cet égard d’une marge d’appréciation quant au choix des moyens appropriés et nécessaires  ( 112 ). Parmi les pouvoirs de l’autorité de contrôle prévus à l’article 58, paragraphe 2, sous a), du RGPD, elle peut « avertir » un responsable du traitement du fait que les opérations « envisagées » sont « susceptibles » de violer le RGPD, ce qui s’inscrit dans une approche que l’on peut qualifier de « conservatoire » des droits de la personne concernée  ( 113 ).

189.

Toutes ces exigences et pouvoirs des autorités de contrôle visent à renforcer la procédure de réclamation afin d’en faire un mécanisme apte à sauvegarder de manière efficace les droits et les intérêts des personnes concernées, soit « un véritable recours administratif »  ( 114 ).

190.

Signalons également, au titre des éléments de contexte, que, comme souligné par la Commission, le responsable du traitement doit remplir certaines obligations, et notamment informer la personne concernée avant de procéder au traitement  ( 115 ).

191.

Il me semble donc qu’une approche conservatoire ou préventive de la part des autorités de contrôle dans le cadre du traitement des réclamations ne saurait, a priori, être exclue dans le contexte du RGPD.

192.

Troisièmement, cette interprétation est confirmée par les objectifs que ce règlement poursuit. En effet, il ressort notamment de son considérant 10 qu’il vise à assurer un niveau élevé de protection des personnes physiques à l’égard du traitement des données à caractère personnel au sein de l’Union. Le considérant 11 dudit règlement énonce, en outre, qu’une protection effective de ces données exige de renforcer les droits des personnes concernées.

193.

Or, restreindre l’obligation incombant aux autorités de contrôle de traiter les réclamations, en vertu de l’article 57, paragraphe 1, sous f), du RGPD, en interprétant l’article 77, paragraphe 1, de ce règlement comme excluant toute possibilité d’introduire une réclamation auprès d’une autorité de contrôle « en vue d’un traitement », pourrait être en contradiction avec les objectifs poursuivis par ledit règlement, notamment avec celui d’assurer un niveau élevé de protection des personnes physiques à l’égard du traitement des données à caractère personnel au sein de l’Union.

194.

Je considère donc, au vu de l’ensemble de ces considérations, qu’il ne saurait être exclu qu’une réclamation effectuée au titre de l’article 77 du RGPD puisse être recevable, en dépit du fait que le traitement de données à caractère personnel de la personne concernée n’a pas encore eu lieu au moment de l’introduction de sa réclamation auprès de l’autorité de contrôle.

195.

J’estime cependant, à l’instar de la Commission et du gouvernement autrichien, que la violation alléguée du RGPD doit s’y prêter et que le traitement concerné, qui est, en l’occurrence, la publication des données à caractère personnel, n’ait pas un caractère purement hypothétique  ( 116 ).

196.

En l’espèce, la Cour est saisie d’une demande, fondée sur l’article 17 du RGPD, visant une réclamation en vue de l’effacement des données en cause, la requérante au principal concernée (YT) ayant précisé à cet égard que la publication de ses données était « presque certainement imminente ».

197.

Or, une réclamation visant l’effacement de ces données (tout comme une demande de rectification des données) suppose, par hypothèse, que le traitement en cause, ici la publication des données, ait eu lieu. Il paraît en effet impossible pour le responsable du traitement de donner suite à une telle réclamation et d’effacer des données si elles n’ont pas encore été divulguées, sauf à interpréter cette réclamation comme visant en réalité à empêcher la publication desdites données  ( 117 ) (et non à les effacer), ce qu’il incombe à la juridiction de renvoi d’apprécier.

198.

J’ajoute qu’une telle interprétation ne se heurte pas aux objectifs de garantir un niveau élevé de protection des données à caractère personnel, dès lors que d’autres dispositions du RGPD permettent de répondre aux demandes concernant un traitement à venir. En effet, comme l’indique le gouvernement autrichien, l’article 79, paragraphe 1, du RGPD, relatif au droit à un recours juridictionnel effectif, implique l’existence, en droit national, d’actions procédurales en cas de menace d’atteinte illicite imminente aux droits conférés par le RGPD. Cela inclut la possibilité en droit autrichien d’intenter des actions en cessation préventives avant le début du traitement, voire, si le traitement a débuté, la possibilité de demander à l’autorité autrichienne de contrôler la limitation de ce traitement sur le fondement de l’article 18 du RGPD.

199.

Dès lors, je suis d’avis qu’il ne saurait être exclu qu’une réclamation effectuée sur le fondement de l’article 77 du RGPD puisse être recevable, en dépit du fait que le traitement de données à caractère personnel de la personne concernée n’a pas encore eu lieu au moment de l’introduction de sa réclamation auprès de l’autorité de contrôle, mais revêt un caractère qui n’est pas purement hypothétique. Toutefois, dans les circonstances du litige au principal, la réclamation, fondée sur le droit à l’effacement prévu à l’article 17 du RGPD, n’est pas recevable dès lors qu’elle concerne un traitement (ici la publication des données à caractère personnel de la personne concernée) qui, même imminent, n’existait ni au moment du dépôt de la réclamation de cette personne devant l’autorité de contrôle ni au moment de l’adoption de la décision de cette autorité de contrôle.

La réclamation auprès de l’autorité de contrôle devient-elle recevable « a posteriori » ?

200.

Je relève que cette question concerne l’interprétation de l’article 77 du RGPD, relatif au droit d’introduire une réclamation auprès de l’autorité de contrôle. Il semble donc que la juridiction de renvoi demande si une telle réclamation, déclarée irrecevable, pourrait devenir a posteriori recevable devant l’autorité de contrôle si le traitement en cause (ici la divulgation des données) intervient alors qu’un recours contre la décision de cette autorité de contrôle est pendant devant la juridiction d’appel. Il me semble qu’il appartient à cet égard à l’ordre juridique interne de régler la question de savoir si le juge d’appel pourrait, voire devrait, dans une telle situation, renvoyer la question à l’autorité de contrôle pour réexamen à l’aune des nouveaux éléments factuels, s’il incombe à la personne concernée de réintroduire une réclamation ou si le juge d’appel peut lui-même statuer sur la situation dont il est saisi au regard de nouveaux éléments factuels consistant en l’occurrence en la publication des données. Il convient de veiller à cet égard à ce que soient assurés l’effectivité de la protection des droits garantis par le RGPD et l’application cohérente et homogène de ses dispositions.

201.

Pour autant que, à l’instar du gouvernement autrichien, il convient de comprendre la question de la juridiction de renvoi comme visant la recevabilité d’une telle réclamation devant le juge saisi en appel, il s’agit dans ce cas d’examiner les conséquences des effets liés à un changement factuel, à savoir le traitement consistant en la publication des données à caractère personnel, survenu après la décision de l’autorité de contrôle et alors qu’un recours juridictionnel, exercé sur le fondement de l’article 78 du RGPD, est pendant contre cette décision, dans l’hypothèse où il existait, lors de la réclamation, des indices concrets qu’un traitement de données à caractère personnel par le responsable du traitement était imminent ou aurait lieu dans un avenir proche.

202.

Il convient de rappeler que le législateur de l’Union est intervenu, dans le cadre du RGPD, pour offrir différentes voies de recours aux personnes invoquant une violation de ce règlement, étant entendu que chacune de ces voies de recours doit pouvoir être exercée « sans préjudice » des autres  ( 118 ).

203.

Ainsi, l’article 78, paragraphe 1, du RGPD prévoit que, sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne physique ou morale a le droit de former un recours juridictionnel effectif contre une décision juridiquement contraignante d’une autorité de contrôle qui la concerne. Il en découle que les juridictions saisies d’un recours contre une décision d’une autorité de contrôle devraient disposer d’une pleine compétence, et notamment de celle d’examiner toutes les questions de fait et de droit relatives au litige dont elles sont saisies  ( 119 ). Le contrôle juridictionnel exercé sur une décision sur réclamation adoptée par une autorité de contrôle, pour être « effectif », ainsi que l’exige cette disposition, est donc entier  ( 120 ). En outre, l’article 79, paragraphe 1, de ce règlement garantit à chaque personne concernée le droit à un recours juridictionnel effectif « sans préjudice de tout recours administratif ou extrajudiciaire qui lui est ouvert, y compris le droit d’introduire une réclamation auprès d’une autorité de contrôle au titre de l’article 77 ».

204.

Certes, il a déjà été constaté que, par l’adoption du RGPD, le législateur de l’Union n’a pas entendu procéder à une harmonisation exhaustive des voies de recours ouvertes en cas de violation des dispositions du RGPD, prévues aux articles 77 à 79 de ce règlement  ( 121 ). En particulier, lorsqu’une réclamation auprès d’une autorité de contrôle et des recours juridictionnels sont introduits au sein d’un même État membre au sujet d’un même traitement de données à caractère personnel, le RGPD ne prévoit pas de dispositions particulières.

205.

Toutefois, si le législateur de l’Union n’a pas entendu procéder à une harmonisation exhaustive à cet égard, il n’a pas, pour autant, souhaité exclure la possibilité évoquée par la question du juge de renvoi, à savoir admettre la recevabilité a posteriori d’une réclamation introduite dans des circonstances telles que celles du litige au principal.

206.

En l’absence de réglementation de l’Union en la matière, il appartient donc à chaque État membre, en vertu du principe d’autonomie procédurale des États membres, de régler les modalités des procédures administratives et juridictionnelles destinées à assurer un niveau élevé de sauvegarde des droits que les justiciables tirent du droit de l’Union. Dans ce contexte, il incombe au juge national de veiller à ce que soient assurés l’effectivité de la protection des droits garantis par le RGPD, l’application cohérente et homogène des dispositions de ce règlement ainsi que le droit à un recours effectif devant un tribunal, visé à l’article 47 de la Charte  ( 122 ).

207.

Partant, c’est sur le fondement des dispositions procédurales nationales qu’il appartient à la juridiction de renvoi de déterminer comment les voies de recours prévues par la règlementation nationale doivent être mises en œuvre dans chaque cas. Elle doit à cet égard s’assurer que les modalités concrètes d’exercice des voies de recours n’affectent pas de manière disproportionnée le droit à un recours effectif devant un tribunal. Elle doit également veiller à ce que soit assurée l’effectivité de la protection des droits garantis par le RGPD et que ces modalités respectent les principes d’effectivité et d’équivalence  ( 123 ).

208.

En l’absence de précision de la part de la juridiction de renvoi sur les possibilités offertes par son droit national, il y a donc lieu, à mon sens, de considérer que l’article 77, paragraphe 1, du RGPD, examiné à la lumière de l’article 78, paragraphe 1, de ce règlement, doit être interprété en ce sens qu’il ne s’oppose pas à la recevabilité d’une réclamation précédemment rejetée comme irrecevable par l’autorité de contrôle, lorsque le traitement de données intervient alors que le recours juridictionnel portant sur les mêmes faits est pendant devant le juge. Il appartient à l’ordre juridique interne de régler, dans le respect des principes d’équivalence et d’effectivité, les conditions d’une telle recevabilité, tant devant l’autorité de contrôle que devant le juge, de sorte que soient assurés l’effectivité de la protection des droits garantis par le RGPD, l’application cohérente et homogène de ses dispositions ainsi que le droit à un recours effectif devant un tribunal.

Conclusion sur la septième question

209.

Compte tenu de l’ensemble des considérations qui précèdent, je propose à la Cour de répondre à la septième question que l’article 77 du RGPD doit être interprété en ce sens qu’une réclamation, fondée sur l’article 17 de ce règlement (violation alléguée du droit à l’effacement), n’est pas recevable dès lors qu’elle concerne un traitement de publication des données à caractère personnel de la personne concernée qui, même imminent, n’existait ni au moment de la réclamation introduite par cette personne auprès de l’autorité de contrôle ni au moment de l’adoption de la décision de cette autorité, sans préjudice cependant de la recevabilité éventuelle d’une réclamation qui viserait un traitement de données à caractère personnel non purement hypothétique et se prêtant à une action préventive ou conservatoire de l’autorité de contrôle.

210.

En outre, examiné à la lumière de l’article 78, paragraphe 1, du RGPD, l’article 77 de ce règlement ne s’oppose pas à la recevabilité d’une réclamation précédemment rejetée comme irrecevable par l’autorité de contrôle, lorsque le traitement de données intervient alors que le recours juridictionnel portant sur les mêmes faits est pendant devant le juge. Il appartient à l’ordre juridique interne de régler, dans le respect des principes d’équivalence et d’effectivité, les conditions d’une telle recevabilité, tant devant l’autorité de contrôle que devant le juge, de sorte que soient assurés l’effectivité de la protection des droits garantis par le RGPD, l’application cohérente et homogène de ses dispositions ainsi que le droit à un recours effectif devant un tribunal.

Conclusion

211.

Eu égard à tout ce qui précède, je propose à la Cour de répondre comme suit aux questions préjudicielles posées par le Bundesverwaltungsgericht (tribunal administratif fédéral, Autriche) :

–

une réclamation, fondée sur l’article 17 de ce règlement (violation alléguée du droit à l’effacement), n’est pas recevable dès lors qu’elle concerne un traitement de publication des données à caractère personnel de la personne concernée qui, même imminent, n’existait ni au moment de la réclamation introduite par cette personne auprès de l’autorité de contrôle ni au moment de l’adoption de la décision de cette autorité, sans préjudice cependant de la recevabilité éventuelle d’une réclamation qui viserait un traitement de données à caractère personnel non purement hypothétique et se prêtant à une action préventive ou conservatoire de l’autorité de contrôle ;

–

examiné à la lumière de l’article 78, paragraphe 1, du règlement 2016/679, il ne s’oppose pas à la recevabilité d’une réclamation précédemment rejetée comme irrecevable par l’autorité de contrôle, lorsque le traitement de données intervient alors que le recours juridictionnel portant sur les mêmes faits est pendant devant le juge. Il appartient à l’ordre juridique interne de régler, dans le respect des principes d’équivalence et d’effectivité, les conditions d’une telle recevabilité, tant devant l’autorité de contrôle que devant le juge, de sorte que soient assurés l’effectivité de la protection des droits garantis par le règlement 2016/679, l’application cohérente et homogène de ses dispositions ainsi que le droit à un recours effectif devant un tribunal.