Introducción

1.

La normativa del deporte se encuentra en la intersección de varias fuentes normativas. Así lo demuestra la normativa antidopaje, que es el resultado de una coproducción normativa privada y pública. En particular, el Código Mundial Antidopaje (CMA), adoptado en aplicación de los estatutos de la Agencia Mundial Antidopaje (AMA), es un instrumento de carácter privado que los Estados signatarios se han comprometido a respetar a través de la Convención Internacional de las Naciones Unidas contra el Dopaje en el Deporte.  ( 2 ) Esta normativa, destinada a armonizar las políticas, normas y reglamentos antidopaje de las organizaciones deportivas y de las autoridades públicas en todo el mundo, forma así un sistema jurídico sectorial transnacional muy específico.  ( 3 )

2.

El Tribunal de Justicia ya ha tenido ocasión de pronunciarse sobre la compatibilidad de ciertas normativas del deporte con el Derecho de la Unión, en particular desde el punto de vista de la libre prestación de servicios o de la competencia.  ( 4 )

3.

El presente asunto brinda al Tribunal de Justicia una ocasión sin precedentes  ( 5 ) para examinar determinados aspectos de la normativa antidopaje a la luz de las exigencias vinculadas a la protección de los datos personales. En efecto, se trata de conciliar, por una parte, las exigencias de un deporte ético, que se manifestarían en el presente asunto en la publicación nominativa, en línea, de las sanciones impuestas a los deportistas cuando infrinjan las normas antidopaje, y, por otra parte, la protección de los datos personales de esos deportistas, derivada del Reglamento (UE) 2016/679  ( 6 ) (en lo sucesivo, «RGPD»).

4.

En un momento en el que se está revisando el CMA,  ( 7 ) el alcance de la sentencia que recaerá en este asunto podría trascender las fronteras europeas.

Marco jurídico

Derecho de la Unión

5.

El artículo 16 TFUE establece, en su apartado 1, que toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan. Su apartado 2 dispone que «el Parlamento Europeo y el Consejo establecerán, con arreglo al procedimiento legislativo ordinario, las normas sobre protección de las personas físicas respecto del tratamiento de datos de carácter personal por las instituciones, órganos y organismos de la Unión, así como por los Estados miembros en el ejercicio de las actividades comprendidas en el ámbito de aplicación del Derecho de la Unión, y sobre la libre circulación de estos datos. El respeto de dichas normas estará sometido al control de autoridades independientes».

6.

El artículo 165 TFUE establece, en su apartado 2, que la acción de la Unión se encaminará, en particular, a «desarrollar la dimensión europea del deporte, promoviendo la equidad y la apertura en las competiciones deportivas y la cooperación entre los organismos responsables del deporte, y protegiendo la integridad física y moral de los deportistas, especialmente la de los más jóvenes». A tal efecto, su apartado 4 prevé que el «Consejo adoptará, a propuesta de la Comisión, recomendaciones».

7.

El considerando 35 del RGPD indica que «entre los datos personales relativos a la salud se deben incluir todos los datos relativos al estado de salud del interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro. Se incluye la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria […]; todo número, símbolo o dato asignado a una persona física que la identifique de manera unívoca a efectos sanitarios; la información obtenida de pruebas o exámenes de una parte del cuerpo o de una sustancia corporal, incluida la procedente de datos genéticos y muestras biológicas, y cualquier información relativa, a título de ejemplo, a una enfermedad, una discapacidad, el riesgo de padecer enfermedades, el historial médico, el tratamiento clínico o el estado fisiológico o biomédico del interesado, independientemente de su fuente, por ejemplo un médico u otro profesional sanitario, un hospital, un dispositivo médico, o una prueba diagnóstica in vitro».

8.

El artículo 2 del RGPD, titulado «Ámbito de aplicación material», dispone en su apartado 1 que «el presente Reglamento se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero». Del artículo 2, apartado 2, letra a), del RGPD resulta que dicho Reglamento no se aplica al tratamiento de datos personales «en el ejercicio de una actividad no comprendida en el ámbito de aplicación del Derecho de la Unión».

9.

El artículo 4 del RGPD, titulado «Definiciones», establece en el punto 15 que, a efectos de este Reglamento, por «datos relativos a la salud» se entiende aquellos «datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud».

10.

El artículo 5 de dicho Reglamento, titulado «Principios relativos al tratamiento», establece:

11.

El artículo 6 del citado Reglamento, titulado «Licitud del tratamiento», tiene el siguiente tenor:

12.

El artículo 9, apartado 1, del RGPD, titulado «Tratamiento de categorías especiales de datos personales», prohíbe, en particular, el tratamiento de datos personales relativos a la salud. Del artículo 9, apartado 2, letra g), de este Reglamento resulta que el apartado 1 no es de aplicación cuando «el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado».

13.

El artículo 10 del RGPD, titulado «Tratamiento de datos personales relativos a condenas e infracciones penales», dispone que «el tratamiento de datos personales relativos a condenas e infracciones penales […] solo podrá llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados. Solo podrá llevarse un registro completo de condenas penales bajo el control de las autoridades públicas».

14.

El artículo 77 del RGPD, titulado «Derecho a presentar una reclamación ante una autoridad de control», establece en su apartado 1:

15.

El artículo 78 del RGPD, titulado «Derecho a la tutela judicial efectiva contra una autoridad de control», dispone en su apartado 1:

Derecho austriaco

16.

Del artículo 5, apartado 5, de la Anti-Doping-Bundesgesetz 2021 (Ley Federal contra el Dopaje de 2021), de 23 de diciembre de 2020 (BGBl. I, 152/2020; en lo sucesivo, «ADBG»), resulta que la Nationale Anti-Doping Agentur Austria GmbH (Agencia Independiente de Lucha Contra el Dopaje, Austria; en lo sucesivo, «NADA») es una sociedad de utilidad pública de responsabilidad limitada que ejerce las funciones de organismo independiente de control del dopaje y es responsable del tratamiento de los datos personales.

17.

A tenor del artículo 5, apartado 6, punto 4, de la ADBG, la NADA informará a la Bundes-Sportorganisation (Organización Deportiva Federal, Austria), a las organizaciones deportivas, a los deportistas y a otras personas y a los organizadores de competiciones, así como, gratuitamente, al público en general, sobre determinadas informaciones, a saber, «las medidas cautelares (por ejemplo, las suspensiones) y exclusiones de deportistas y de otras personas de las que haya tenido conocimiento […], así como del levantamiento de tales medidas, con mención del nombre de las personas afectadas, de la duración de la exclusión y de los motivos de esta, sin que sea posible inferir a partir de ahí categorías especiales de datos personales, en particular los relativos a la salud, de dichas personas. En el caso de personas especialmente vulnerables y de deportistas aficionados, esta información podrá ser omitida […]».

18.

El artículo 6, apartado 2, de la ADBG dispone, en particular, que la NADA velará por la seguridad de los datos personales y de las categorías especiales de datos personales, de conformidad con los artículos 32 a 34 del RGPD. Esta disposición precisa que «la necesidad del tratamiento de datos se deriva de la aplicación efectiva de las normas antidopaje del [CMA] y de las disposiciones de la presente Ley federal, en la medida en que los interesados se hayan comprometido contractualmente a cumplir con el CMA». Además, «las categorías especiales de datos personales, en particular los datos sobre la salud, solo podrán ser objeto de tratamiento cuando resulte indispensable en virtud de las normas antidopaje de la presente Ley federal o del CMA».

19.

La Österreichische Anti-Doping Rechtskommission (Comisión Jurídica Antidopaje Austriaca; en lo sucesivo, «ÖADR») es una comisión pública e independiente de los órganos gubernamentales, de los particulares y de la NADA que, en aplicación del artículo 7, apartado 1, de la ADBG, «tramitará los procedimientos disciplinarios para la federación deportiva federal competente, de conformidad con las normas antidopaje vigentes de la federación deportiva internacional competente (procedimientos antidopaje)».

20.

En virtud del artículo 21, apartado 3, de la ADBG, «a más tardar veinte días después de que la resolución haya adquirido firmeza, la [ÖADR] informará a la Bundes-Sportorganisation [Organización Deportiva Federal], a las organizaciones deportivas, a los deportistas y a otras personas y a los organizadores de competiciones, así como al público en general, de las medidas cautelares impuestas (por ejemplo, las suspensiones) y de las decisiones adoptadas en el procedimiento antidopaje, indicando el nombre de las personas de que se trate, la duración de la suspensión y los motivos de esta, sin que de los datos publicados puedan extraerse conclusiones sobre la salud de dichas personas. Cuando se trate de personas especialmente vulnerables, de deportistas aficionados o de personas que, facilitando información u otras indicaciones, hayan contribuido significativamente al esclarecimiento de posibles infracciones en materia de dopaje, podrá omitirse esta información. En el caso de los deportistas aficionados, se procederá a una comunicación por razones de salud pública cuando se haya declarado la existencia de una infracción de la normativa antidopaje de las contempladas en el artículo 1, apartado 2, puntos 3 y 9 a 11».

21.

Del artículo 23, apartado 14, de la ADBG resulta, en esencia, que se imponen las mismas obligaciones a la Unabhängige Schiedskommission (Comisión Independiente de Arbitraje, Austria; en lo sucesivo, «USK»).

Litigio principal, cuestiones prejudiciales y procedimiento ante el Tribunal de Justicia

22.

En el marco de procedimientos antidopaje, los deportistas AR, YT, DI y RN (en lo sucesivo, «recurrentes») han sido objeto de decisiones de suspensión (por un período determinado o a perpetuidad, según los casos), adoptadas bien por la ÖADR, competente para tramitar los procedimientos antidopaje, bien por la USK, competente para revisar las decisiones de la ÖADR.

23.

En virtud de la legislación austriaca en materia antidopaje, las suspensiones decididas por la ÖADR o la USK son publicadas en forma de lista en su sitio de Internet por la NADA. Durante la vigencia de las suspensiones, esta lista incluye el nombre y apellido del deportista en cuestión, el deporte que practica, la infracción de las normas antidopaje cometida, la sanción impuesta y las fechas de inicio y fin de la sanción. La ÖADR publica también esos mismos datos, así como la sustancia prohibida que, en su caso, se haya usado, mediante un comunicado en su propio sitio de Internet.

24.

Los días 14 y 15 de octubre de 2021, los recurrentes solicitaron a la ÖADR y a la NADA que dejasen de figurar sus nombres y los deportes que practican. La ÖADR y la NADA no accedieron a estas solicitudes.

25.

El 22 de octubre de 2021, los recurrentes presentaron ante la Österreichische Datenschutzbehörde (Autoridad Austriaca de Protección de Datos, Austria) una reclamación con arreglo al artículo 77, apartado 1, del RGPD solicitando que se declarara la vulneración del derecho a la supresión y a la limitación de los datos y que se ordenara a la ÖADR y a la NADA que suprimieran la publicación de sus nombres y de los deportes practicados en dichos sitios de Internet. También alegaron que se trataba de una categoría especial de datos personales y de un tratamiento de datos personales relativos a condenas e infracciones penales, en el sentido de los artículos 9 y 10 del RGPD, respectivamente. En su opinión, el régimen indiferenciado de publicación previsto en el Derecho austriaco es incompatible con el artículo 6, apartado 3, del RGPD y no es ni necesario ni proporcionado.

26.

El 26 de noviembre de 2021, la Autoridad Austriaca de Protección de Datos desestimó esta reclamación por infundada. Por lo que respecta a YT en particular, su reclamación fue desestimada por falta de interés en ejercitar la acción, puesto que sus datos aún no habían sido publicados.

27.

Los recurrentes interpusieron entonces ante el Bundesverwaltungsgericht (Tribunal Federal de lo Contencioso-Administrativo, Austria), que es el órgano jurisdiccional remitente, un recurso basado en el artículo 78, apartado 1, del RGPD. En este contexto, la NADA, primera parte recurrida en el litigio principal, adujo que la publicación de datos personales en su sitio de Internet es necesaria para el cumplimiento de una obligación legal a la que está sujeta y para la realización de una misión en interés público en el sentido del artículo 6, apartado 1, letras c) y e), del RGPD.

28.

El órgano jurisdiccional remitente suspendió el procedimiento principal debido a que la USK planteó la petición de decisión prejudicial en el asunto NADA y otros.  ( 8 ) Después de que se declarase la inadmisibilidad de dicha petición mediante sentencia de 7 de mayo de 2024,  ( 9 ) se reanudó el procedimiento nacional sustanciado ante el órgano jurisdiccional remitente.

29.

En este contexto, el Bundesverwaltungsgericht (Tribunal Federal de lo Contencioso-Administrativo) decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:

30.

Han presentado observaciones escritas los recurrentes en el litigio principal, la NADA, la Autoridad Austriaca de Protección de Datos, la Comisión y los Gobiernos austriaco, letón, neerlandés, polaco y finlandés. Los recurrentes en el litigio principal, la NADA, la Comisión y los Gobiernos austriaco, letón y finlandés también presentaron observaciones orales en la vista celebrada públicamente el 13 de mayo de 2025.

Apreciación

31.

Tras examinar la primera cuestión prejudicial, referida a la aplicabilidad del RGPD, analizaré las cuestiones prejudiciales segunda, quinta y sexta, que se refieren a determinados datos concretos, antes de abordar la cuestión relativa al principio de proporcionalidad (cuestiones prejudiciales tercera y cuarta). Por último, examinaré la séptima cuestión prejudicial, de carácter más procesal.

Primera cuestión prejudicial

32.

Mediante su primera cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si la aplicación de la legislación antidopaje constituye o no una «actividad» comprendida en el «ámbito de aplicación del Derecho de la Unión» en el sentido del artículo 16 TFUE, apartado 2, primera frase.

33.

La importancia de esta respuesta es considerable, ya que, en caso de respuesta negativa, el RGPD no se aplicaría al litigio principal. En efecto, el RGPD, que se adoptó sobre la base del artículo 16 TFUE, excluye de su ámbito de aplicación, mediante su artículo 2, apartado 2, letra a), el tratamiento de datos personales efectuado en el ejercicio de una actividad «no comprendida en el ámbito de aplicación del Derecho de la Unión».

34.

Con carácter preliminar, y aunque el órgano jurisdiccional remitente no la menciona, me gustaría recordar que la excepción contemplada en el artículo 2, apartado 2, letra d), del RGPD prevé que dicho Reglamento no se aplica al tratamiento de datos personales «por parte de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales […]». Esta excepción se explica por el hecho de que el tratamiento de datos personales con tales fines por parte de las «autoridades competentes» se rige por un acto más específico de la Unión, a saber, la Directiva (UE) 2016/680,  ( 10 ) adoptada el mismo día que el RGPD. No puede descartarse, en este punto, que el criterio material de esa excepción pueda cumplirse en el presente asunto. En efecto, la cuestión de si el tratamiento de los datos de que se trata en el presente asunto se efectúa para los fines contemplados en el artículo 2, apartado 2, letra d), del RGPD nos remite al objeto de la quinta cuestión prejudicial (relativa al artículo 10 del RGPD), que se refiere al carácter penal o no de las condenas e infracciones que son objeto del tratamiento de datos en cuestión. Sin embargo, no se ha abordado el criterio orgánico de la excepción prevista en el artículo 2, apartado 2, letra d), del RGPD: ¿constituyen la NADA y la ÖADR «autoridades competentes» en el sentido del artículo 3, apartado 7, de la Directiva 2016/680? En caso de respuesta negativa, el RGPD se aplica, lo que constituirá mi hipótesis de trabajo para el resto del análisis. En cambio, en caso de respuesta afirmativa y de que se cumpliera también el criterio material, se plantearía la cuestión de la aplicabilidad de la Directiva 2016/680 en lugar del RGPD, extremo que corresponde comprobar al órgano jurisdiccional remitente.

35.

Hecha esta observación, debo señalar que, en el presente asunto, no se discute que los tratamientos de datos personales en cuestión, efectuados por las autoridades antidopaje austriacas y consistentes en la publicación en Internet de los nombres de los deportistas en cuestión, el deporte que practican, la infracción de la normativa antidopaje cometida, la sanción impuesta y el comienzo y fin de dicha sanción, se corresponden con los tratamientos a los que se aplica el RGPD en virtud de su artículo 2, apartado 1, a saber, el tratamiento total o parcialmente automatizado de datos personales.  ( 11 )

36.

La cuestión que se plantea de forma más controvertida es si ese tratamiento está comprendido en el ámbito de aplicación de la excepción prevista en el artículo 2, apartado 2, letra a), del RGPD.

37.

En el marco de mi análisis, comenzaré por recordar el principio de interpretación estricta de la excepción del artículo 2, apartado 2, letra a), del RGPD para, seguidamente, extraer las consecuencias para la actividad antidopaje a la luz de las alegaciones formuladas por la NADA.

Sobre la interpretación estricta de la excepción del artículo 2, apartado 2, letra a), del RGPD

38.

Según jurisprudencia reiterada, la excepción prevista en el artículo 2, apartado 2, letra a), del RGPD, en la medida en que hace inaplicable el régimen de protección de datos personales previsto en el RGPD y se aparta así de su objetivo de protección, debe ser objeto de interpretación estricta.  ( 12 )

39.

En efecto, tal como se afirma en esencia en los considerandos 6 a 12 del RGPD, la rápida evolución tecnológica, la globalización y la magnitud de la recogida y del intercambio de datos personales requieren un marco sólido y coherente en materia de protección de datos en la Unión, que garantice un elevado nivel de protección de los derechos y libertades de las personas físicas por lo que se refiere al tratamiento de dichos datos, equivalente en todos los Estados miembros, respaldado por una ejecución estricta, a fin de generar la confianza que permita a la economía digital desarrollarse en todo el mercado interior.

40.

Desde esta perspectiva, el ámbito de aplicación material del RGPD, establecido en el artículo 2, es, por lo tanto, necesariamente amplio y las excepciones que prevé están sujetas a interpretación estricta. Así, el Tribunal de Justicia ha declarado que el artículo 2, apartado 2, letra a), del RGPD, interpretado a la luz de su considerando 16, tiene como único objeto excluir del ámbito de aplicación de dicho Reglamento los tratamientos de datos personales efectuados en el marco de una actividad dirigida a preservar la seguridad nacional o una actividad que pueda incluirse en la misma categoría.

41.

Las actividades cuya finalidad es preservar la seguridad nacional abarcan, en particular, las que tienen por objeto proteger las funciones esenciales del Estado y los intereses fundamentales de la sociedad.  ( 13 )

42.

En cambio, no son determinadas personas como tales las que están excluidas de la aplicación del RGPD, sino solo algunas de sus actividades.  ( 14 ) En efecto, el mero hecho de que una actividad sea propia del Estado o de una autoridad pública no basta para que dicha excepción sea automáticamente aplicable a tal actividad.  ( 15 ) Tampoco es suficiente con que el autor del tratamiento en cuestión tenga como actividad garantizar la seguridad nacional, por cuanto la actividad en cuestión en el marco del tratamiento de que se trate es la única pertinente.  ( 16 ) Tampoco basta con que, en el marco de una transferencia de datos con fines comerciales desde un Estado miembro a un tercer país, los datos de que se trate puedan ser tratados, en el transcurso de la transferencia o tras ella, por las autoridades del país tercero en cuestión con fines de seguridad pública, defensa y seguridad del Estado.  ( 17 )

43.

Pues bien, en el presente asunto, como subraya el Gobierno austríaco, el artículo 1, apartado 1, de la ADBG dispone que, «al influir en la capacidad deportiva, el dopaje es contrario al principio de equidad en la competición deportiva y al verdadero valor intrínseco del deporte (el espíritu deportivo) y presenta además riesgos para la salud».

44.

Por lo tanto, no puede sostenerse que la publicación de datos personales por la NADA y la ÖADR constituya un tratamiento de datos en relación con una actividad, en el presente asunto la lucha contra el dopaje, que guarde relación con la seguridad nacional o que pueda clasificarse en esa categoría con arreglo al artículo 2, apartado 2, letra a), del RGPD.

45.

Procede concluir que la excepción basada en esta disposición del RGPD no es aplicable al tratamiento de datos controvertido en el presente asunto.

46.

Las alegaciones de la NADA, basadas, por una parte, en que la actividad antidopaje es competencia de los Estados miembros y, por otra parte, en la falta de carácter económico de dicha actividad, no invalidan esta apreciación, como me esforzaré en demostrar a continuación.

La actividad «antidopaje» no está excluida del ámbito de aplicación del RGPD…

–

… aunque sea competencia de los Estados miembros

47.

En primer lugar, la NADA sostiene que la política antidopaje es un ámbito que, en virtud del reparto de competencias previsto en el Derecho de la Unión, sigue siendo competencia de los Estados miembros, no obstante la competencia de apoyo prevista en el ámbito del deporte en el artículo 165 TFUE.

48.

Sin embargo, el hecho de que el tratamiento de datos personales tenga lugar en el marco de una actividad comprendida en el ámbito de competencia de los Estados miembros no es pertinente en sí mismo para excluir dicho tratamiento del ámbito de aplicación del RGPD sobre la base de su artículo 2, apartado 2, letra a), por cuanto no es una actividad dirigida a preservar la seguridad nacional ni una actividad que pueda incluirse en la misma categoría.  ( 18 )

49.

Excluir del ámbito de aplicación del RGPD el tratamiento efectuado en el marco de una actividad por el mero hecho de que dicha actividad sea competencia de los Estados miembros sería, en mi opinión, contrario tanto al texto como al contexto y los objetivos de dicho Reglamento.

50.

En efecto, cuando el texto del artículo 2, apartado 2, letra a), del RGPD alude al concepto de «actividad no comprendida en el ámbito de aplicación del Derecho de la Unión», no remite a una lógica de competencia, sino a una lógica material de definición del ámbito de aplicación por el legislador, en el propio RGPD, cometido que se le encomienda en el artículo 16 TFUE, apartado 2. Esta disposición constituye y delega en la Unión una competencia legislativa en materia de protección y libre circulación de datos personales y define a tal efecto un ámbito de aplicación específico.  ( 19 ) Además, en el concreto contexto de la protección de los datos personales, habida cuenta en particular de la naturaleza autónoma de las problemáticas asociadas a su tratamiento que han precisado una intervención legislativa propia y específica, el concepto de «ámbito de aplicación del Derecho de la Unión» excede de los supuestos de «aplicación del Derecho de la Unión» en el sentido del artículo 51, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»).  ( 20 ) Por último, «en muchos ámbitos que son competencia de los Estados miembros, el Derecho de la Unión sigue siendo pertinente».  ( 21 ) Esto es particularmente cierto en el caso del RGPD, cuyo ámbito de aplicación, transversal, es necesariamente amplio habida cuenta de sus objetivos, recordados en el punto 39 de las presentes conclusiones.

51.

Así, aun cuando la actividad «antidopaje» no está regulada por un acto del Derecho de la Unión y corresponde a los Estados miembros, no puede deducirse de ello que el tratamiento efectuado en el marco de dicha actividad antidopaje no esté comprendido en el «ámbito de aplicación del Derecho de la Unión», en el sentido del artículo 2, apartado 2, letra a), del RGPD, tal como lo interpreta el Tribunal de Justicia en el contexto específico del RGPD.

52.

Por lo demás, desde el Tratado de Lisboa, el deporte es una competencia de apoyo de la Unión.  ( 22 ) Así, el artículo 165 TFUE, apartado 2, establece que «la acción de la Unión se encaminará a […] desarrollar la dimensión europea del deporte, promoviendo la equidad y la apertura en las competiciones deportivas y la cooperación entre los organismos responsables del deporte, y protegiendo la integridad física y moral de los deportistas, especialmente la de los más jóvenes». Estos términos remiten en particular a las políticas en materia antidopaje. Ciertamente, tal competencia de apoyo no confiere a la Unión competencia alguna para legislar en el ámbito del deporte. No obstante, aunque la actividad de la Unión no sea normativa, existe y le permite adoptar actos jurídicos con el fin de apoyar, coordinar o complementar la acción de los Estados miembros, de conformidad con el artículo 6 TFUE.  ( 23 ) Por lo tanto, el carácter «deportivo» de las normas antidopaje no permite considerar que su aplicación constituya una actividad no comprendida en el ámbito de aplicación del Derecho de la Unión en el sentido del artículo 2, apartado 2, letra a), del RGPD.

–

… y a pesar de su «falta» de carácter económico

53.

En segundo lugar, la NADA sostiene que la práctica del deporte solo está comprendida en el ámbito de aplicación del Derecho de la Unión en la medida en que constituya actividad económica. A su criterio, las normas antidopaje controvertidas se basan, por su parte, en consideraciones puramente deportivas, de modo que el tratamiento de los datos de que se trata en el presente asunto no constituye una cuestión encuadrada en la actividad económica y, por lo tanto, no está comprendido en el ámbito de aplicación del Derecho de la Unión.

54.

Esta alegación, basada en la supuesta «disociabilidad» de las normas antidopaje, tampoco me convence.

55.

En efecto, la afirmación según la cual «la práctica del deporte solo está regulada por el Derecho comunitario en la medida en que constituye una actividad económica en el sentido del artículo 2 del Tratado [CE]» nos remite a la sentencia de 12 de diciembre de 1974, Walrave y Koch.  ( 24 ) Pues bien, con posterioridad a esa fecha, la Unión ha ejercido su competencia en materia de protección de datos sobre la base del artículo 16 TFUE. Así pues, los Estados miembros han pretendido aplicar el Derecho de la Unión en materia de protección de datos personales también en ámbitos no económicos, como demuestran tanto el texto como el contexto y los objetivos del RGPD.

56.

Para empezar, el texto del artículo 2, apartado 2, letra a), del RGPD determina el ámbito de aplicación material de dicho Reglamento al referirse al concepto de «actividad» y no de «actividad económica» comprendida o no en el ámbito de aplicación del Derecho de la Unión.

57.

A continuación, el contexto del RGPD, y en particular sus disposiciones en materia de transferencia de datos personales a terceros países u organizaciones internacionales (capítulo V del RGPD), confirma este enfoque textual. En efecto, si no se cumplen las condiciones para que se produzca una transferencia de este tipo, las excepciones en caso de situaciones específicas, previstas en el artículo 49 del RGPD, pueden autorizar no obstante dicha transferencia. Pues bien, el considerando 112 del RGPD indica expresamente que las excepciones para estas situaciones específicas «deben aplicarse en particular a las transferencias de datos requeridas y necesarias por razones importantes de interés público, por ejemplo en caso de intercambios internacionales de datos […] para reducir y/o eliminar el dopaje en el deporte». Como ha subrayado el Gobierno finlandés, este considerando indica que el legislador de la Unión no ha estimado que el tratamiento de datos personales en materia de control antidopaje, aunque se refiera a una actividad no económica, quede fuera del ámbito de aplicación de dicho Reglamento.

58.

Por último, el criterio basado en un vínculo de conexión con el Derecho de la Unión por una actividad económica tampoco me parece pertinente a la luz de los objetivos perseguidos por el RGPD. En efecto, tal criterio conduciría a tener que determinar el ámbito de aplicación del RGPD caso por caso, en función de si el tratamiento de los datos en cuestión guarda o no relación con disposiciones específicas del Derecho de la Unión o con las libertades que rigen el mercado interior. Un planteamiento de este tipo, que varía en función de las situaciones concretas de que se trate, podría hacer que los límites del ámbito de aplicación de dicho Reglamento fueran inciertos y aleatorios,  ( 25 ) lo que iría en contra de sus objetivos esenciales, a saber, garantizar una aplicación coherente y homogénea de las normas de protección en toda la Unión y eliminar los obstáculos a los flujos de datos personales dentro de esta.

59.

Por lo demás, me gustaría añadir que, al menos en el caso de los deportistas profesionales, no puede excluirse la existencia de un vínculo entre la normativa antidopaje y su actividad profesional y, por lo tanto, un vínculo de conexión económica, en particular, con las libertades de circulación y de prestación de servicios.  ( 26 ) En efecto, las sanciones impuestas pueden conllevar consecuencias económicas no desdeñables debido a su suspensión, en ocasiones a perpetuidad. Si, para determinar el ámbito de aplicación del RGPD, debiera recurrirse a la existencia de tal vínculo de conexión económica, se llegaría al resultado, como mínimo, poco satisfactorio en el que el RGPD podría aplicarse, por ejemplo, a los deportistas profesionales, pero no a los aficionados.  ( 27 ) Tal diferencia de trato en función de si la actividad se considera económica o no es difícilmente conciliable con el RGPD y sus objetivos de protección en relación con los datos personales.

Conclusión sobre la primera cuestión prejudicial

60.

Habida cuenta de todo lo anterior, propongo al Tribunal de Justicia que responda a la primera cuestión prejudicial que el artículo 16 TFUE, apartado 2, primera frase, y el artículo 2, apartado 2, letra a), del RGPD deben interpretarse en el sentido de que el tratamiento de datos personales consistente, con arreglo a las normas nacionales antidopaje, en la publicación de los nombres de los deportistas afectados, el deporte que practican, la infracción de la normativa antidopaje cometida, la sanción impuesta y el comienzo y fin de dicha sanción no puede considerarse efectuado en el marco de una «actividad no comprendida en el ámbito de aplicación del Derecho de la Unión», en el sentido del artículo 2, apartado 2, letra a), del RGPD.

Segunda cuestión prejudicial

61.

Mediante su segunda cuestión prejudicial, el órgano jurisdiccional remitente pregunta si la publicación de los datos personales controvertidos se refiere a «datos relativos a la salud» en el sentido del artículo 9 del RGPD.

Sobre la interpretación amplia del concepto de «datos relativos a la salud»

62.

El interés de esta cuestión radica en que el artículo 9 del RGPD prevé un régimen jurídico especialmente protector para las categorías de datos personales denominados «sensibles», entre las que se incluyen los «datos relativos a la salud» (o «datos sanitarios»). Estos datos, que se consideran esenciales para la intimidad de las personas, requieren, como tales, un elevado nivel de protección, a la vez gracias a la protección de la vida privada, al secreto profesional y a la legislación relativa a la protección de los datos personales.  ( 28 ) Por lo tanto, su tratamiento está prohibido por el artículo 9, apartado 1, del RGPD, a no ser que pueda aplicarse alguna de las excepciones previstas en el apartado 2 de este artículo. Esto se refleja en el considerando 51 del RGPD, relativo a los datos sensibles, según el cual esta protección específica se explica «ya que el contexto de su tratamiento podría entrañar importantes riesgos para los derechos y las libertades fundamentales». Conforme al considerando 54 del RGPD, el objetivo es evitar, si son objeto de tratamiento por razones de interés público, «que terceros, como empresarios, compañías de seguros o entidades bancarias, traten los datos personales con otros fines».  ( 29 ) El imperativo de protección de datos se ve reforzado además con la informatización de las estructuras sanitarias y la desmaterialización de los soportes y de los flujos de datos.  ( 30 )

63.

Cabe añadir que la prohibición del tratamiento de los datos sanitarios, establecida en el artículo 9, apartado 1, del RGPD, es independiente de que la información revelada por el tratamiento en cuestión sea o no exacta y de que el responsable del tratamiento actúe con el fin de obtener información comprendida en alguna de las categorías especiales contempladas en dicha disposición.  ( 31 ) Cabe deducir de ello que el objetivo del responsable del tratamiento, y en particular el hecho de que el tratamiento sea necesario en virtud de una obligación legal o de un interés público, si bien constituye un elemento pertinente en el marco de la posible aplicación de alguna de las diez excepciones previstas en el artículo 9, apartado 2, del RGPD, no es un elemento que deba tenerse en cuenta en la fase de la calificación como «dato sanitario».  ( 32 )

64.

Con arreglo al artículo 4, punto 15, del RGPD, en relación con el considerando 35 de dicho Reglamento, estos datos incluyen todos los datos personales relativos a la salud física o mental de una persona física que revelen  ( 33 ) información sobre su estado de salud pasado, presente o futuro.

65.

El Tribunal de Justicia ya ha declarado que, habida cuenta del objetivo del RGPD, el concepto de «datos relativos a la salud» que figura en el artículo 9, apartado 1, de dicho Reglamento debe interpretarse de manera amplia.  ( 34 ) Conforme a la interpretación contextual y teleológica del artículo 4, punto 15, y del artículo 9 del RGPD, para ser calificados como tales, basta con que los datos en cuestión puedan revelar, aunque sea de manera indirecta, mediante un ejercicio intelectual de relación o deducción, información sobre el estado de salud del interesado.  ( 35 )

66.

En este contexto, tengo la impresión de que cabe distinguir esquemáticamente entre dos categorías de datos sanitarios.

67.

Por una parte, los datos generados en el ámbito médico me parecen poder considerarse «por su propia naturaleza»  ( 36 ) datos sanitarios «objetivos»,  ( 37 ) que se refieren, como se expone en el considerando 35 del RGPD, a una información relativa, por ejemplo, a una enfermedad física o mental, una discapacidad, un riesgo de enfermedad, antecedentes médicos o un tratamiento clínico. Por lo general, figuran en el historial médico de la persona en cuestión.  ( 38 ) De igual modo, los datos que, aunque no sean médicos, se recogen para incluirlos en el historial médico, como es el caso de los datos administrativos destinados a figurar en dicho historial, están contemplados como tales en el considerando 35 del RGPD como «datos sanitarios». En este sentido, se trata de datos considerados relativos a la salud y que revelan información sobre el estado de salud del interesado.

68.

En este ámbito, el concepto de «riesgo de padecer enfermedades», mencionado en el considerando 35 del RGPD, reviste sin duda cierta importancia. Como se desprende de los trabajos del Grupo de Trabajo del artículo 29, se incluyen aquí los datos relativos al posible estado de salud futuro de un interesado. Así pues, se tiene en cuenta el riesgo futuro de enfermedad «científicamente probado o comúnmente percibido» y se citan como ejemplos el consumo excesivo de alcohol o tabaco y el consumo de drogas.  ( 39 )

69.

Por otra parte, fuera del contexto médico, un dato puede referirse a la salud, en particular si dicho dato puede, aunque sea indirectamente, revelar información sobre el estado de salud físico o mental, pasado, presente o futuro de una persona física.  ( 40 ) Es la «zona gris»  ( 41 ) del concepto de «dato sanitario» la que plantea la cuestión de hasta qué punto su vínculo indirecto con la salud puede llevar a calificarlo como tal. El factor decisivo en este caso es si es posible, a partir de los datos de que se trata, extraer conclusiones sobre el estado de salud del interesado, ya se trate de un estado patológico o fisiológico, independientemente de la fiabilidad de dichas conclusiones. A este respecto, pueden tenerse en cuenta elementos contextuales,  ( 42 ) al igual que el vínculo entre la información en cuestión y la capacidad de deducir de ella un aspecto de la salud de una persona.  ( 43 )

70.

Por ejemplo, el Grupo de Trabajo del artículo 29 ha considerado como dato sanitario la información relativa a la pertenencia de una persona a grupos que persiguen un objetivo relacionado con la salud, como «Weight Watchers» o «Alcohólicos Anónimos».  ( 44 ) Además, un dato bruto resultante de una «medición personal» (por ejemplo, el peso o la presión arterial registrada por un reloj de pulsera inteligente) que no sea por sí mismo un dato sanitario podría permitir, junto con otra información, extraer conclusiones sobre la salud de la persona de que se trate. El Grupo de Trabajo del artículo 29 precisa a este respecto que debe llevarse a cabo una evaluación caso por caso: una aplicación que registra y almacena el número de pasos dados durante unos días y borra estos datos al cabo de una semana puede no estar tratando «datos sanitarios». Por el contrario, una aplicación que combina varios años de registros cuantificados exhaustivos de una persona (seguidos, por ejemplo, de hábitos de sueño y de ejercicio, registros detallados de alimentación, del peso, del índice de masa corporal, de la presión arterial y de otras estadísticas vitales, así como un diario del estado de ánimo) se considera que trata datos sanitarios. En tal caso, no solo se considerarán datos sanitarios las conclusiones y las deducciones, sino también los datos brutos.  ( 45 )

Aplicación en el presente asunto

71.

En el litigio principal, la normativa controvertida prevé que, además de indicar el nombre de los deportistas afectados y la duración de su suspensión, se divulguen los motivos de dicha suspensión mediante remisión a la categoría de infracción o infracciones constatadas. Cuando la infracción se refiera a una sustancia o método prohibido, tal dato también se indica en el comunicado publicado en el sitio de Internet de la ÖADR.  ( 46 )

72.

Antes de nada, procede recordar que las infracciones de las normas antidopaje que se hacen públicas se dividen en varias categorías.  ( 47 )

73.

Considero, al igual que la Autoridad Austriaca de Protección de Datos, que solo las infracciones previstas en las categorías 2.1 y 2.2 deben examinarse a la luz del concepto de «datos sanitarios». En efecto, las demás infracciones se refieren a comportamientos infractores que, como tales, considero que no permiten desvelar, siquiera indirectamente, información sobre el estado de salud del interesado. Por ejemplo, la información de que un deportista ha incumplido su obligación de localización (infracción de categoría 2.4) o ha traficado con sustancias prohibidas (infracción de categoría 2.7) no revela información sobre su estado de salud.

74.

A continuación, procede señalar que la constatación de las infracciones de las categorías 2.1 y 2.2 implica la realización de pruebas antidopaje al deportista en cuestión y el análisis de muestras para detectar las sustancias y métodos prohibidos. He de añadir que estos análisis son realizados por profesionales acreditados  ( 48 ) y, por lo tanto, en un contexto cuasimédico, o incluso médico. Por lo tanto, la constatación de tales infracciones nos remite al concepto de «información obtenida de pruebas o exámenes de una parte del cuerpo o de una sustancia corporal» en el sentido del considerando 35 del RGPD. Por consiguiente, podría considerarse que tal información constituye un dato sanitario por su propia naturaleza.

75.

A este respecto, es cierto que la prueba se realiza con vistas a detectar sustancias dopantes tomadas para mejorar el rendimiento deportivo y el tratamiento consistente en la divulgación de la información de que se trata responde a un objetivo penalizador del deportista en cuestión y disuasorio. Sin embargo, hay que tener en cuenta que el objetivo perseguido no es pertinente para la calificación de los datos de que se trata.  ( 49 )

76.

Del mismo modo, el hecho de que las sustancias dopantes no sean medicamentos no me parece convincente. En efecto, por una parte, el concepto de «datos sanitarios» no incluye únicamente los datos médicos con fines terapéuticos. Además, algunos medicamentos son perjudiciales para la salud si se utilizan de forma indebida. Por otra parte, es cierto que la lucha antidopaje busca promover la equidad y la igualdad de los deportistas, pero también constituye un problema de salud.  ( 50 ) Pues bien, un número elevado de sustancias o métodos se prohíbe, en particular debido a sus efectos perjudiciales para la salud, aun cuando dicho efecto pueda variar según el producto, la cantidad absorbida o la constitución del afectado.  ( 51 )

77.

Por consiguiente, para calificar el dato en cuestión, con independencia de que el objetivo perseguido por el deportista consista en la mejora de su rendimiento, no es posible, en mi opinión, ignorar los efectos de la absorción de una sustancia prohibida sobre la salud de dicho deportista, ya sean presentes o futuros.

78.

Por último, me parece que el hecho de que el nombre de la sustancia prohibida detectada en el organismo sea publicado en línea por la ÖADR permite informar al público sobre los riesgos que su absorción puede entrañar para la salud del deportista en cuestión.

79.

Es cierto que la mera mención del nombre de la sustancia prohibida, presente en el organismo, podría considerarse insuficiente en sí misma para revelar información sobre el estado de salud, aun futuro, del deportista de que se trate. A este respecto, el propio contenido de la información podría considerarse demasiado sucinto, y el vínculo con el estado de salud demasiado indirecto, e incluso demasiado hipotético, para constituir un «dato sanitario» en el sentido del RGPD. No obstante, no puede excluirse que, combinada con otros elementos, esta información permita revelar, aunque sea de manera indirecta, mediante un ejercicio intelectual de relación o deducción, información sobre el estado de salud, aun futuro, del interesado.

80.

Por lo tanto, considero que la mención del nombre de la sustancia en cuestión (o su categoría) ofrece indicaciones que, aunque no sean muy detalladas, pueden proporcionar información, aunque sea de manera indirecta, sobre el estado de salud del interesado. En el contexto específico del RGPD, tal mención constituye, en determinadas circunstancias que corresponde verificar al órgano jurisdiccional remitente, un «dato relativo a la salud» en el sentido de los artículos 4, punto 15, y 9, apartado 1, del RGPD, leídos conjuntamente con el considerando 35 de dicho Reglamento.

81.

En cambio, considero que no sería así si no se mencionara la sustancia prohibida de que se trate (o su categoría). En efecto, en tal caso, sería imposible, incluso mediante un «ejercicio intelectual de relación o deducción», establecer el vínculo entre la constatación de una infracción debido a la presencia de una sustancia prohibida en el organismo, por una parte, y la información sobre el estado de salud del interesado, por otra. En mi opinión, ese vínculo sería entonces demasiado indirecto para que la información divulgada entrara en la categoría de «datos relativos a la salud» del RGPD.

Conclusión sobre la segunda cuestión prejudicial

82.

Por consiguiente, propongo al Tribunal de Justicia que declare que el artículo 9, apartado 1, del RGPD debe interpretarse en el sentido de que no constituye tratamiento de datos relativos a la salud, en el sentido de dicha disposición, divulgar el nombre del deportista en cuestión, la duración de su suspensión y los motivos de esta, salvo si tales motivos incluyen el nombre de la sustancia o sustancias prohibidas cuya presencia se ha detectado en el organismo del deportista en cuestión, cuando esa indicación pueda revelar, aunque sea indirectamente, información sobre el estado de salud, aun futuro, del deportista en cuestión, extremo que corresponde comprobar al órgano jurisdiccional remitente.

Quinta cuestión prejudicial

83.

El órgano jurisdiccional remitente pregunta, en esencia, si la publicación controvertida constituye un tratamiento de datos personales relativos a condenas e infracciones penales en el sentido del artículo 10 del RGPD. A este respecto, señala que las sanciones en el litigio principal incluyen la retirada de títulos y premios, así como la suspensión de varios años o la prohibición a perpetuidad de participar en todas las competiciones (nacionales e internacionales). Además, precisa que, en virtud del artículo 24, apartado 4, de la ADBG, las organizaciones deportivas no pueden «recurrir» a personas objeto de una suspensión en virtud de la legislación antidopaje y, por lo tanto, no pueden contratarlas a cambio de remuneración.

84.

Antes de analizar la naturaleza de las condenas e infracciones antidopaje de que se trata, recordaré la trascendencia de una calificación penal en el contexto del artículo 10 del RGPD.

Trascendencia del carácter «penal» de las condenas e infracciones en el sentido del artículo 10 del RGPD

85.

Procede recordar que el legislador de la Unión no prohíbe el tratamiento de datos personales relativos a condenas e infracciones penales, sino que lo somete a un control reforzado, en la medida en que puede tener un impacto significativo en la vida de los interesados, en particular por el daño a la reputación o la discriminación en otros ámbitos. Así pues, dicho tratamiento solo puede tener lugar «bajo el control de las autoridades públicas» o si la legislación que autoriza ese tratamiento de datos establece «garantías adecuadas para los derechos y las libertades de los interesados».  ( 52 ) El artículo 10 del RGPD únicamente reserva esta protección reforzada al ámbito penal, en el entendimiento de que el término «penal» se refiere a la vez tanto a las «condenas» como a las «infracciones».  ( 53 )

86.

Así, puede estar comprendida en el ámbito de aplicación del artículo 10 del RGPD la llevanza de registros de las condenas e infracciones penales por parte de organismos privados,  ( 54 ) por ejemplo en el marco de la lucha contra el blanqueo de capitales o de las actividades de los laboratorios de policía científica.  ( 55 ) También cabe citar el ejemplo del tratamiento de datos personales por organismos de alquiler de vehículos que identifican y designan un conductor que haya infringido el código de circulación.

87.

En el presente asunto, la cuestión que se plantea es, por lo tanto, si los «antecedentes deportivos» publicados en línea por la NADA y la ÖADR constituye un «registro» de condenas e infracciones penales incluido en el ámbito de aplicación del artículo 10 del RGPD y que, por lo tanto, implica una protección reforzada.

Análisis del carácter «penal» o no, en el sentido del artículo 10 del RGPD, de las condenas e infracciones antidopaje

88.

Según la jurisprudencia del Tribunal de Justicia, el concepto de «infracción penal», decisivo para determinar la aplicabilidad del artículo 10 del RGPD al tratamiento de datos personales, requiere, en toda la Unión, una interpretación autónoma y uniforme, que debe buscarse teniendo en cuenta el objetivo que pretende alcanzar dicha disposición y el contexto en que esta se incluye, sin que sea determinante a este respecto la calificación dada por el Estado miembro de que se trate a esas infracciones, calificación que puede ser diferente de un país a otro.

89.

Así pues, los tres «criterios Engel», adoptados por el Tribunal de Justicia,  ( 56 ) a saber, la calificación jurídica de la infracción en el Derecho interno, la propia naturaleza de la infracción y la gravedad de la sanción que puede imponerse al interesado, son pertinentes para apreciar el carácter penal de una infracción.

90.

Si bien corresponde al órgano jurisdiccional remitente apreciar, a la luz de estos criterios, si las condenas e infracciones controvertidas en el litigio principal tienen carácter penal en el sentido del artículo 10 del RGPD, el Tribunal de Justicia, al resolver sobre un remisión prejudicial, puede aportar, en todo caso, precisiones destinadas a orientar a dicho órgano jurisdiccional en su interpretación.  ( 57 )

91.

Por consiguiente, examinaré las infracciones y condenas de que se trata a la luz de estos tres criterios.

–

Calificación jurídica de la infracción en el Derecho interno

92.

De la petición de decisión prejudicial se desprende que, con arreglo al Derecho austriaco, la ÖADR tramita los procedimientos disciplinarios para la federación deportiva competente. Del mismo modo, el Gobierno austriaco subrayó en la vista que la normativa antidopaje tiene un carácter sui generis en la medida en que las infracciones antidopaje son infracciones de las normas de las federaciones deportivas de que se trata, que los deportistas se comprometen a respetar,  ( 58 ) y no infracciones de la ley.

93.

Por lo tanto, la calificación de las infracciones antidopaje en el Derecho nacional no es indicativa de una calificación «penal» en el sentido del artículo 10 del RGPD.

94.

Dicho esto, el alcance de este primer criterio Engel debe relativizarse, puesto que, incluso para infracciones que no se califican de «penales» con arreglo al Derecho nacional, tal carácter puede deducirse, no obstante, de la propia naturaleza de la infracción en cuestión y de la gravedad de las sanciones que puedan imponerse.  ( 59 ) Esto es particularmente pertinente en materia de normativa antidopaje, puesto que el sistema transnacional establecido implica la intervención de distintos actores, internacionales y nacionales,  ( 60 ) y los Estados miembros han integrado el CMA de distintas formas en sus ordenamientos jurídicos respectivos. Por lo tanto, la aplicación de la normativa antidopaje varía necesariamente de un Estado a otro, en función de los diferentes modelos de organización estatal, si bien parece que, en la mayoría de los Estados miembros, las ONAD carecen de competencias penales a este respecto.  ( 61 )

95.

Por consiguiente, es necesario examinar los otros dos criterios Engel.

–

Naturaleza de la infracción

96.

Este segundo criterio exige comprobar si la sanción correspondiente a la infracción de que se trata tiene concretamente una finalidad penalizadora, sin que la mera circunstancia de que persiga igualmente una finalidad preventiva pueda privarla de la calificación de «sanción penal». En efecto, es propio de las sanciones penales tener por objeto tanto la penalización como la prevención de conductas ilícitas. En cambio, una medida que se limite a reparar el perjuicio causado por la infracción de que se trate no reviste carácter penal.  ( 62 )

97.

De la petición de decisión prejudicial se desprende que existen dos categorías de sanciones para las infracciones antidopaje.

98.

Se trata, por una parte, de la retirada de títulos y premios, que consiste en recuperar las ganancias para reasignarlas a los deportistas que habrían tenido derecho a ellas si el deportista sancionado no hubiera participado en la competición. Tal sanción parece responder a la infracción de la «regla del juego» (la lex sportiva) y puede considerarse dirigida esencialmente a restablecer el «juego limpio» de las competiciones,  ( 63 ) aunque ello no le resta en absoluto su carácter punitivo para el deportista de que se trate.

99.

Se trata, por otra parte, de la suspensión de la participación en las competiciones deportivas, que puede ser de algunos meses o de varios años, e incluso, como es el caso de uno de los recurrentes en el litigio principal, llegar a la prohibición a perpetuidad de participar en todas las competiciones. Esta suspensión puede considerarse ciertamente como una voluntad de vetar al deportista infractor con el fin de alejarlo o excluirlo de la comunidad de deportistas y, de este modo, preservar la integridad de dicha comunidad. No obstante, también tiene por objeto sancionar al deportista que ha infringido las normas antidopaje que se había comprometido a respetar, así como disuadir a los demás deportistas de hacer lo mismo.

100.

Por lo tanto, el objetivo principal de estas sanciones antidopaje, al menos de la suspensión de las competiciones, no parece ser reparar el daño sufrido por terceros como consecuencia de la infracción, sino sancionar el comportamiento del deportista de que se trate, lo que va en el sentido de una condena penal.  ( 64 ) A este respecto, la normativa antidopaje, aun cuando no constituye un corpus de Derecho penal, tiene una vocación penalizadora.  ( 65 )

101.

No obstante, la calificación de «penal» con arreglo a este segundo criterio Engel podría suscitar dudas de dos tipos.

102.

Una primera duda se deriva de la constatación de que el Tribunal de Estrasburgo ha tendido a tratar los procedimientos disciplinarios desde la vertiente civil del artículo 6 del CEDH,  ( 66 ) salvo, por ejemplo, cuando se impone una privación de libertad y la sanción tiene un grado de gravedad suficientemente elevado.  ( 67 )

103.

En particular, el Tribunal de Estrasburgo considera que el artículo 6 del CEDH es aplicable en su vertiente civil a las «impugnaciones relativas a la retirada del derecho a ejercer una profesión»,  ( 68 ) incluido en el ámbito deportivo.  ( 69 )

104.

Por lo tanto, el carácter penal de la prohibición de ejercer una profesión está lejos de ser evidente.

105.

Sin embargo, me parece que no cabe deducir de ello, ipso facto y de manera absoluta, que una sanción disciplinaria que conlleve la suspensión de las competiciones deportivas no pueda, en ningún caso, encuadrarse en el ámbito penal.

106.

En efecto, tal planteamiento resultaría puramente formal.

107.

Además, es preciso recordar que las dos vertientes (civil y penal) del artículo 6 del CEDH no se excluyen necesariamente.  ( 70 )

108.

Por último, debe tenerse en cuenta que el Tribunal de Estrasburgo examina la naturaleza penal o civil de la infracción de que se trate a la luz de las imputaciones formuladas ante él y a efectos de apreciar si las garantías del proceso equitativo previstas en el artículo 6 del CEDH se aplican en su vertiente civil (apartado 1) o penal (apartados 1 a 3).

109.

En cambio, en el contexto del artículo 10 del RGPD, se trata de evaluar si la condena o la infracción es penal a efectos de determinar si el tratamiento en cuestión (en este caso, la publicación) se refiere a una información a la que debe concederse una protección reforzada que implique el control de una autoridad pública. A lo anterior se añade que no hay nada que prohíba adoptar una interpretación más amplia que garantice una protección reforzada de los derechos y libertades en cuestión.  ( 71 ) Por lo tanto, es en este contexto del artículo 10 del RGPD en el que el órgano jurisdiccional remitente debe apreciar si se cumplen o no los criterios Engel y, en particular, el segundo criterio, relativo a la naturaleza de la infracción.

110.

Una segunda duda se deriva del hecho de que las infracciones y condenas antidopaje solo afectan a un grupo particular de personas, a saber, los deportistas, al igual que las sanciones disciplinarias cuyo objetivo general es garantizar el cumplimiento, por parte de sus miembros, de las normas de conducta específicas del grupo en cuestión.  ( 72 ) Estas disposiciones tienen por objeto proteger el honor y la reputación de la profesión y mantener la confianza del público en dicha profesión.  ( 73 )

111.

Es cierto que tal constatación permitiría calificar la infracción de «disciplinaria» en el sentido de que se aplica a un determinado número de personas contempladas por un conjunto de normas específicas. En este sentido, el presente asunto se distingue del asunto que dio lugar a la sentencia Latvijas Republikas Saeima, en el que la atribución de puntos por infracciones de tráfico se basaba en un texto de aplicación general.  ( 74 )

112.

No obstante, no queda excluida la calificación de «infracción penal» en el sentido del artículo 10 del RGPD. En efecto, si el ámbito de aplicación más restringido, propio de las normativas disciplinarias, fuera suficiente para evitar la calificación de la infracción como «penal», nos retrotraeríamos a un enfoque puramente formal del concepto. Tal enfoque es difícilmente conciliable con la jurisprudencia, que impone a este respecto que se indague en la finalidad penalizadora o preventiva de la sanción para definir la naturaleza de la infracción, en contraposición a un objetivo meramente reparador.

113.

Pues bien, en el presente asunto, como ya se ha mencionado,  ( 75 ) las condenas antidopaje no tienen por objeto reparar los perjuicios eventualmente causados por las infracciones de que se trate (o no únicamente, si se considera el perjuicio causado a la comunidad deportiva), sino que, por el contrario, persiguen una finalidad penalizadora que puede conferirles una calificación de condena «penal» en el sentido de la interpretación de este segundo criterio por la jurisprudencia, con independencia de que el texto aplicable tenga o no carácter general. Asimismo, he de señalar que el propio Tribunal de Arbitraje Deportivo (Suiza), institución internacional que ofrece arbitraje o mediación en el mundo del deporte, reconoce, cuando procede, la naturaleza «cuasipenal» de las sanciones antidopaje.  ( 76 )

114.

Además, determinadas infracciones de la normativa antidopaje, como el tráfico de sustancias prohibidas, pueden dar lugar a sanciones comprendidas tanto en la normativa antidopaje como en la normativa penal nacional. Es cierto que el Tribunal de Estrasburgo ha entendido que el hecho de que los actos que pueden dar lugar a una sanción disciplinaria también constituyan infracciones penales no basta para considerar que una persona responsable con arreglo al Derecho disciplinario esté «acusada» de una infracción penal.  ( 77 ) No obstante, me parece que esto podría constituir un elemento que deba tenerse en cuenta en el marco del segundo criterio Engel.

115.

Por consiguiente, a pesar de las reservas expresadas, considero, en esta fase, que no cabe excluir que, considerando su carácter penalizador o preventivo, determinadas infracciones antidopaje puedan considerarse de naturaleza penal en el sentido del artículo 10 del RGPD.

–

Grado de gravedad de la sanción

116.

Este tercer criterio Engel debe apreciarse a la luz de la pena máxima señalada en las disposiciones pertinentes.  ( 78 )

117.

Pues bien, este grado de gravedad varía en función de la infracción antidopaje cometida. Por ejemplo, la duración de la suspensión señalada varía en función de las infracciones antidopaje de que se trate. Del mismo modo, la reincidencia y la intención del autor también pueden ser relevantes a este respecto.  ( 79 )

118.

De la petición de decisión prejudicial resulta que, en el presente asunto, puede tratarse «de una suspensión de varios años o una prohibición a perpetuidad de participar en todas las competiciones (nacionales e internacionales)», lo que puede dar lugar, por lo tanto, a una prohibición definitiva de ejercer la profesión de deportista.

119.

Ciertamente, no se trata de una pena privativa de libertad. No obstante, esto no es determinante, puesto que «la escasa relevancia de lo que está en juego no permite privar a una infracción de su carácter penal intrínseco».  ( 80 ) Además, la carrera de deportista profesional de la persona afectada puede finalizar, según la duración de la suspensión, en particular atendiendo a la edad de las personas afectadas y a la constatación de que la carrera es, en algunos deportes en particular, relativamente corta.

120.

A esta suspensión, que puede ser «a perpetuidad», se añade la imposibilidad en la práctica de volver a encontrar un puesto de trabajo en el ámbito deportivo, habida cuenta de la prohibición de asociarse con una persona suspendida durante todo el período de su suspensión.

121.

Por último, a las consecuencias económicas y financieras para la persona afectada se añaden la desaprobación de la sociedad y la estigmatización tanto en el ámbito público como en el privado.

122.

De ello se desprende, en mi opinión, que tal sanción reviste una gravedad que puede tener un efecto equivalente a una condena penal en el sentido del artículo 10 del RGPD, extremo que, no obstante, corresponde apreciar al órgano jurisdiccional remitente en cada caso concreto.

123.

En consecuencia, soy de la opinión de que, en principio, las infracciones y condenas antidopaje deben considerarse comprendidas en el ámbito disciplinario, salvo en los casos en que la condena sea de una gravedad tal que se encuadre en el ámbito penal. Esta apreciación, que no puede cuestionarse por la mera calificación en Derecho interno, se inscribe además en el marco del objetivo penalizador y preventivo de la condena, que confiere carácter penal a la infracción cometida. En este contexto, una suspensión a perpetuidad de participar en cualquier competición podría, por lo tanto, a mi modo de ver, constituir una sanción con un efecto equivalente a una sanción penal, lo que podría dar lugar a la aplicabilidad del artículo 10 del RGPD.

124.

Por último, he de añadir que no me convence la alegación de la NADA, que advierte de las implicaciones que tendría, para todos los colegios profesionales, la aplicación del artículo 10 del RGPD al tratamiento de datos relativos a infracciones y condenas disciplinarias. En efecto, no se trata aquí de «dar naturaleza penal» a todas las infracciones y condenas disciplinarias de manera general y abstracta. El análisis anterior ha puesto de manifiesto que la apreciación debe efectuarse en función de las circunstancias de cada caso concreto y con vistas a la interpretación del artículo 10 del RGPD que, en presencia de un «registro» de condenas e infracciones comprendidas en su ámbito de aplicación, impone una protección reforzada. Además, la base jurídica para el tratamiento de los datos relativos a tales infracciones y condenas calificadas de «penales» también puede residir en la legislación de la Unión o de los Estados miembros que prevea las «garantías adecuadas».

Conclusión sobre la quinta cuestión prejudicial

125.

Considero que procede responder a la quinta cuestión prejudicial que el artículo 10 del RGPD debe interpretarse en el sentido de que puede aplicarse a los tratamientos de datos personales relativos a condenas o infracciones previstas en la normativa nacional antidopaje cuando, con independencia de la calificación de tales infracciones en el Derecho interno, las condenas que conlleven persigan una finalidad penalizadora y tengan un grado de gravedad tal que produzcan un efecto equivalente a una sanción penal, extremo que corresponde comprobar al órgano jurisdiccional remitente.

Sexta cuestión prejudicial

126.

En caso de respuesta afirmativa a la quinta cuestión prejudicial, el órgano jurisdiccional remitente pregunta si la actividad y las decisiones de una autoridad a la que se ha encomendado, con arreglo al artículo 10 del RGPD, la supervisión del tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas están sujetas a control judicial.

127.

En primer lugar, debe precisarse que la autoridad de que se trata es la «autoridad pública» en el sentido del artículo 10 del RGPD, que no debe confundirse con la «autoridad de control», en el sentido del artículo 51 del RGPD.  ( 81 ) Asimismo, ha de recordarse que el tratamiento de datos personales relativos a condenas e infracciones penales solo puede llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados.  ( 82 ) Por lo tanto, la respuesta a esta cuestión prejudicial debe ponerse en relación con las respuestas a las cuestiones prejudiciales tercera y cuarta, examinadas más adelante.  ( 83 )

128.

En segundo lugar, procede señalar que el RGPD no contiene una definición del concepto de «autoridad pública» o de «supervisión de las autoridades públicas» en el sentido del artículo 10 de este Reglamento. A este respecto, corresponde a los Estados miembros determinar qué organismo ejerce la supervisión de las «autoridades públicas» en caso de tratamiento de datos personales en el sentido del artículo 10 del RGPD. Como señala la Comisión, no se puede descartar que varios servicios puedan ser considerados como tales y no se trata necesariamente del «responsable del tratamiento».

129.

En tercer lugar, es cierto que el tenor del artículo 10 del RGPD no prevé como tal el control judicial de la actividad y las decisiones de esa «autoridad pública». Dicho esto, la interpretación contextual de dicha disposición aboga en favor de tal control si los interesados pretenden hacer valer sus derechos. En efecto, al igual que varias partes interesadas, considero que el control de los actos en materia de tratamiento de datos personales, incluso cuando dicho control tiene lugar a raíz de una decisión de una autoridad pública en el sentido del artículo 10 del RGPD, debe ser conforme con el artículo 79, apartado 1, del RGPD, aun cuando el órgano jurisdiccional remitente no haga referencia a él en su cuestión prejudicial. En virtud de esta disposición, sin perjuicio de cualquier recurso administrativo o extrajudicial, incluido el derecho a presentar una reclamación ante una autoridad de control con arreglo al artículo 77 de dicho Reglamento, todo interesado tiene derecho a la tutela judicial efectiva si considera que se han vulnerado los derechos que le confiere este Reglamento como consecuencia de un tratamiento de sus datos personales en infracción de este. Por lo demás, como subraya el Gobierno finlandés, la propia existencia de un control judicial efectivo destinado a garantizar el respeto del Derecho de la Unión es inherente al Estado de Derecho.

130.

En cuarto lugar, tal interpretación se ve confirmada por el objetivo perseguido por el artículo 10 del RGPD, a saber, garantizar una mayor protección frente a tratamientos que, en atención a la particular sensibilidad de los datos de que se trate, pueden constituir una injerencia especialmente grave en los derechos fundamentales al respeto de la vida privada y a la protección de los datos personales.  ( 84 ) Una interpretación del artículo 10 del RGPD que excluyese, a priori y de manera general, la actividad o las decisiones de una autoridad pública en el sentido de esta disposición de todo control judicial iría en contra de estos objetivos.

131.

En estas circunstancias y a falta de mayor precisión sobre la actividad o las decisiones de la autoridad pública en cuestión, considero que procede responder a la sexta cuestión prejudicial que el artículo 10 del RGPD, a la luz del artículo 79, apartado 1, de este, debe interpretarse en el sentido de que la actividad o las decisiones de una autoridad a la que se ha encomendado, con arreglo a dicha disposición, la supervisión del tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas deben poder someterse a control judicial.

Sobre las cuestiones prejudiciales tercera y cuarta

132.

En el marco de estas dos cuestiones prejudiciales, que pueden examinarse conjuntamente, el órgano jurisdiccional remitente pregunta, en esencia, en primer término, si el artículo 5, apartado 1, letras a) y c), y el artículo 6, apartado 3, párrafo segundo, del RGPD pueden interpretarse en el sentido de que se oponen a una obligación, impuesta por el Derecho nacional a los organismos nacionales antidopaje, de publicar los datos personales de que se trata, a saber, en particular, el nombre de los deportistas sancionados por infracción de la normativa antidopaje, la duración de la suspensión impuesta y sus motivos.

133.

En segundo término, pregunta si el RGPD exige, antes de la publicación, una ponderación caso por caso de los intereses en juego por el responsable del tratamiento o si basta con el control de proporcionalidad previsto por el legislador.

Sobre la proporcionalidad de la publicación en cuestión

134.

El legislador nacional ha previsto en la ADBG la publicación gratuita de determinados datos (nombre del deportista, duración y motivos de la suspensión)  ( 85 ) a la atención de la organización deportiva federal, de las organizaciones deportivas, de los deportistas y de otras personas (personal de apoyo), de los organizadores de competiciones y del público en general, sin que sea posible extraer conclusiones de los datos sanitarios. También se dispone que la información que debe publicarse solo puede omitirse para el público en general si la persona en cuestión es un deportista aficionado, especialmente vulnerable (un menor) o una persona que ha contribuido significativamente a la detección de posibles infracciones de las normas antidopaje facilitando información u otras indicaciones. Salvo error por mi parte, en tal caso, la ADBG no prevé expresamente ni la mención de la sustancia prohibida que haya podido usarse ni la publicación en Internet.

135.

En la práctica, la NADA y la ÖADR han aplicado dicha legislación mediante una publicación en Internet para los deportistas profesionales y, en el caso de la ÖADR, con una mención a la sustancia prohibida que, en su caso, se haya usado.

–

Observaciones preliminares y recordatorio de los principios

136.

Es preciso recordar que el objetivo perseguido por el RGPD, como se desprende de su artículo 1 y de sus considerandos 1 y 10, consiste, en particular, en garantizar un elevado nivel de protección de las libertades y de los derechos fundamentales de las personas físicas, en particular de su derecho a la vida privada en lo que respecta al tratamiento de datos personales, consagrado en el artículo 8, apartado 1, de la Carta y en el artículo 16 TFUE, apartado 1, y estrechamente vinculado al derecho al respeto de la vida privada, consagrado en el artículo 7 de la Carta.

137.

A este respecto, los derechos fundamentales al respeto de la vida privada y a la protección de los datos personales, garantizados en los artículos 7 y 8 de la Carta, no constituyen prerrogativas absolutas. Así, pueden introducirse limitaciones, siempre que, de conformidad con el artículo 52, apartado 1, de la Carta, sean establecidas por la ley y respeten el contenido esencial de los derechos fundamentales y el principio de proporcionalidad.  ( 86 )

138.

En el presente asunto, la publicación de los datos personales de los deportistas afectados se lleva a cabo sobre la base de una obligación legal impuesta a los responsables del tratamiento por la ley nacional.  ( 87 )

139.

En consecuencia, este tratamiento de datos puede considerarse comprendido en el supuesto contemplado en el artículo 6, apartado 1, letra c), del RGPD, que dispone que será lícito el tratamiento necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento. Habida cuenta de que la lucha contra el dopaje podría calificarse de cumplimiento de una misión realizada en interés público,  ( 88 ) el tratamiento en cuestión también puede estar comprendido en el supuesto contemplado en el artículo 6, apartado 1, letra e), del RGPD. No obstante, no es necesario decidir cuál de esas condiciones de licitud es aplicable en el presente asunto o si se aplican ambas.  ( 89 )

140.

El artículo 6, apartado 3, del RGPD especifica, con respecto a estos dos supuestos de licitud del tratamiento, contemplados en el artículo 6, apartado 1, letras c) y e), del RGPD, que dicho tratamiento debe basarse en el Derecho de la Unión o en el Derecho de los Estados miembros que se aplique al responsable del tratamiento, y que esta base jurídica debe cumplir un objetivo de interés público y ser proporcional al fin legítimo perseguido.

141.

Del mismo modo, todo tratamiento de datos personales debe respetar concretamente los principios enunciados en el artículo 5, apartado 1, del RGPD, y en particular los principios de licitud y de «minimización de datos», que figuran respectivamente en las letras a) y c) de dicha disposición. Según el principio de minimización, los datos personales deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados, lo que refleja el citado principio de proporcionalidad.  ( 90 )

142.

Por lo tanto, las cuestiones prejudiciales planteadas por el órgano jurisdiccional remitente implican comprobar si la legislación nacional, como base jurídica del tratamiento controvertido, cumple los requisitos que se derivan de dichas disposiciones, a saber, que responda a un objetivo de interés público y sea proporcional al fin legítimo perseguido.

143.

En el presente asunto, en el marco de la lucha contra el dopaje en el deporte, que es sin duda un objetivo de interés público, se adoptan sanciones en caso de infracción de las normas antidopaje. A ello se añade la divulgación al público en general de los datos personales de que se trata, que persigue dos objetivos también legítimos, mencionados por las partes interesadas y por el Gobierno austriaco en la vista. Por una parte, se trata de disuadir a los deportistas de cometer infracciones de las normas antidopaje y, de este modo, prevenir el dopaje en el deporte. Por otra parte, se trata de evitar la elusión de las normas antidopaje informando a todas las personas que pudieran patrocinar o contratar al deportista en cuestión de que está suspendido.  ( 91 )

144.

Por consiguiente, el órgano jurisdiccional remitente debe comprobar si la normativa nacional que establece el tratamiento en cuestión, tal como la aplican la NADA y la ÖADR, es adecuada para contribuir a la consecución de los objetivos de interés general que persigue y es necesaria y proporcionada en relación con dichos objetivos, siendo competente el Tribunal de Justicia para proporcionarle los elementos de interpretación que puedan resultarle útiles.

–

Sobre la idoneidad de la publicación para alcanzar los objetivos perseguidos

145.

Me parece que la publicación de los datos en cuestión puede considerarse, sin demasiada dificultad, adecuada para alcanzar los dos objetivos perseguidos.

146.

En primer lugar, en efecto, publicar el nombre del deportista sancionado, así como los motivos y la duración de su suspensión, informa al público en general de que el dopaje no queda impune y de que acarrea no solo de sanciones, sino también una publicación nominativa de la sanción de suspensión. Ello puede incitar al público, incluidos los deportistas, profesionales o aficionados, a abstenerse de infringir las normas antidopaje y, por lo tanto, responde al objetivo de disuasión y de prevención.

147.

En segundo lugar, la publicación de esta suspensión también permite informar a las personas que pudieran desear emplear al deportista de que se trate, por cualquier motivo relacionado con el deporte, de que está suspendido y no debe desempeñar funciones deportivas. Es preciso añadir que asociarse con un deportista suspendido también constituye infracción de la normativa antidopaje.  ( 92 ) Tal publicación puede, así, contribuir a evitar que estas infracciones se cometan por desconocimiento.

148.

En cambio, no veo de qué modo la mención de la sustancia prohibida que, en su caso, se haya usado, que no está expresamente prevista por el Derecho nacional, pero que la ÖADR publica, permite alcanzar los objetivos perseguidos. En efecto, ni el objetivo de disuasión ni el de evitar la elusión de las normas antidopaje requieren detallar hasta ese punto la infracción constatada.

–

Sobre la necesidad de la publicación a la luz de los objetivos perseguidos

149.

De conformidad con el considerando 39 del RGPD, comprobar la necesidad del tratamiento en cuestión a la luz de los objetivos perseguidos implica comprobar si no existen medidas alternativas que sean menos atentatorias para los derechos al respeto de la vida privada y de protección de los datos personales, garantizados por los artículos 7 y 8 de la Carta, pero igualmente eficaces para alcanzar el objetivo invocado.  ( 93 )

150.

En primer lugar, por lo que respecta al objetivo de disuasión, la comunicación al público del nombre de los deportistas afectados no me parece absolutamente necesaria en todos los casos.

151.

Es cierto que la disuasión es más eficaz si, en particular en el caso de un deportista famoso, las sanciones van acompañadas de la comunicación de su nombre. Los deportistas de alto nivel que gozan de cierta notoriedad tienen una especial responsabilidad a este respecto, de modo que la divulgación de sus nombres puede ser tanto más pertinente a la luz del objetivo perseguido.

152.

Sin embargo, en el caso de los deportistas profesionales no amparados por las excepciones previstas en la ADBG, la legislación nacional prevé la divulgación nominativa automática, con un alcance ilimitado por la publicación en línea,  ( 94 ) sin tener en cuenta las circunstancias particulares vinculadas a las circunstancias individuales (notoriedad del deportista, nivel de competición, reincidencia, carácter intencional, etc.). A este respecto, opino que, por su carácter general, estas disposiciones nacionales pueden ir más allá de lo que exige la prevención del dopaje mediante la disuasión.

153.

En segundo lugar, en lo que atañe al objetivo de impedir que se eluda la prohibición de asociarse con una persona suspendida, implica saber de qué deportista se trata. En consecuencia, se hace necesario divulgar el nombre de la persona suspendida. En este sentido, de la petición de decisión prejudicial resulta que, según el artículo 1, apartado 2, punto 8, de la ADBG, puede constituir infracción antidopaje el hecho de que un deportista tenga contacto con un miembro del personal de apoyo sujeto a una prohibición o a una sanción.

154.

Dicho esto, el alcance ilimitado de la publicación, unido al hecho de que se haga en Internet, me parece que va más allá de lo necesario.  ( 95 )

155.

En efecto, este objetivo de evitar la elusión de las normas parece esencialmente aplicarse en el mundo del deporte  ( 96 ) y dirigirse a los responsables de que las sanciones se cumplan o a los responsables de los organismos deportivos o de las asociaciones deportivas. Una difusión más restringida de la identidad del deportista en cuestión parecería, en este contexto, alcanzar el objetivo de una manera eficaz y menos lesiva para la protección de los datos personales. Además, la NADA explicó en la vista que, para determinadas categorías de deportistas de menor nivel, la información sobre la suspensión puede hacerse a través de las federaciones.

156.

En cuanto a los operadores económicos o los empleadores ajenos al mundo del deporte, es cierto que una publicación más limitada no les permitiría saber que el deportista en cuestión está suspendido y que les está prohibido asociarse con él. No obstante, de reprocharse a tal persona no informada haberse asociado con una persona suspendida (deportista o no), me parece que las normas en materia de carga de la prueba permitirían, en tal caso, comprobar si tal «asociación» era o no consciente e intencional.  ( 97 ) A la inversa, me parece que publicar en Internet la suspensión junto con el nombre de la persona suspendida de que se trate lleva, a fin de cuentas, a imponer que cualquier persona tenga la responsabilidad de comprobar si la persona con la que contrata o se asocia está o no suspendida. Considero que esta sospecha generalizada, inducida por la publicación en línea de los «antecedentes deportivos», va más allá del objetivo perseguido.

157.

He de añadir que la elección de la publicación en línea por la NADA y la ÖADR pudiera vulnerar aún más el derecho a la vida privada, en particular habida cuenta de su alcance urbi et orbi.  ( 98 ) Así lo considera también el Dictamen del Grupo de Trabajo del artículo 29, que hace hincapié en el riesgo de utilización con otros fines o de tratamientos posteriores de los datos publicados en Internet, más intrusivos.  ( 99 )

158.

En mi opinión, la publicación nominativa, pero limitada a los organismos pertinentes y a las federaciones deportivas, acompañada, por ejemplo, de una publicación en Internet seudonimizada, permitiría alcanzar los dos objetivos perseguidos de manera menos lesiva para la protección de los datos personales y más conforme con el principio de minimización de datos.

159.

He de añadir que no me convence la alegación de la NADA basada en la comparación con la publicación de las sanciones en el marco de otras profesiones, como la abogacía o las profesiones sanitarias. En efecto, como señaló el Gobierno neerlandés a este respecto, la publicación de los nombres de los abogados o médicos suspendidos parece necesaria, puesto que cualquier persona puede ser justiciable o paciente, mientras que, en el contexto del dopaje, basta con que el nombre del deportista de que se trate sea conocido en el ámbito deportivo, por las federaciones deportivas interesadas, salvo en supuestos concretos que deben evaluarse caso por caso.

160.

En consecuencia, albergo serias dudas sobre la necesidad del tratamiento en cuestión a la luz de los objetivos perseguidos.

–

Sobre la proporcionalidad stricto sensu, a saber, la ponderación de los intereses en juego

161.

Para apreciar la proporcionalidad del tratamiento en cuestión, procede llevar a cabo una ponderación de los diferentes derechos, libertades o intereses en juego. En efecto, no puede perseguirse un objetivo de interés general sin tener en cuenta que debe conciliarse con los derechos fundamentales afectados, lo que implica, en el presente asunto, efectuar una ponderación equilibrada entre, por una parte, el objetivo de interés general perseguido y, por otra parte, los derechos de la persona cuyos datos personales se divulgan.  ( 100 )

162.

He de añadir que, en el marco de este análisis, procede tener en cuenta las respuestas que el Tribunal de Justicia dé a la segunda cuestión prejudicial, referente a la existencia de datos sanitarios en el sentido del artículo 9 del RGPD, y a la quinta cuestión prejudicial, referente a los datos relativos a condenas o infracciones penales, que se incluyen en el ámbito de aplicación del artículo 10 del RGPD. En efecto, el respeto del principio de «minimización» de datos sensibles en el sentido del artículo 9 del RGPD no se opone a que unos datos de carácter personal se comuniquen al público cuando tal comunicación sea necesaria y proporcionada.  ( 101 ) Lo mismo sucede cuando los datos en cuestión estén comprendidos en el ámbito de aplicación del artículo 10 del RGPD, siempre que la normativa que autorice dicha comunicación establezca garantías adecuadas para los derechos y libertades de los interesados.  ( 102 ) Dicho esto, en cuanto a los datos objeto de estas dos disposiciones, los intereses de las personas afectadas revisten una importancia particular en el ejercicio de ponderación de los intereses en juego.  ( 103 )

163.

En el presente asunto, el tratamiento en cuestión, que incluye la publicación en línea de la identidad del deportista afectado, constituye una injerencia importante en los derechos fundamentales al respeto de la vida privada y a la protección de los datos personales y puede provocar la desaprobación de la sociedad y la estigmatización del interesado. Este es, por lo demás, el efecto consistente en «poner a quien se trate en la picota por medios electrónicos» que aquí se persigue.

164.

Así pues, la gravedad de esta injerencia debe ponderarse con la importancia de los objetivos que persigue la publicación.

165.

Es preciso señalar que la cuestión planteada por el órgano jurisdiccional remitente se refiere a la publicación contemplada en la ADBG, tal como la aplican la NADA y la ÖADR, para los deportistas profesionales no amparados por las excepciones establecidas (deportistas aficionados, personas vulnerables y «denunciantes»). La publicación relativa a estos consiste en la publicación nominativa y a la vez ilimitada en su alcance, dado que se difunde al público en general a través de Internet, ilimitada a veces en su duración en el caso de las suspensiones a perpetuidad (cual es el caso de uno de los recurrentes en el litigio principal), y sistemática y automática, que, con arreglo a la ADBG, no implica una apreciación individual en función de las circunstancias.

166.

Con toda la prudencia que siempre requiere esta dimensión del control de proporcionalidad,  ( 104 ) me inclino por pensar que la combinación de estos diferentes elementos (carácter nominativo, ilimitado, sistemático y automático de la publicación) puede dar lugar, en determinadas circunstancias, a una injerencia en los derechos a la protección de los datos personales de las personas afectadas tal que no cumpla las exigencias de la ponderación equilibrada entre los diferentes intereses en juego.

167.

Por ejemplo, en el caso de una sanción de suspensión larga,  ( 105 ) o incluso a perpetuidad, de un deportista poco conocido cuya vida deportiva profesional ha finalizado hace algún tiempo, cabría considerar que la publicación lícita de sus datos personales resulta, con el tiempo, excesiva a la luz de los fines perseguidos.

168.

La NADA sostiene que no debe hacerse ninguna diferenciación en función de la gravedad o el carácter reiterado de las infracciones cometidas, dado que tal aspecto se tiene en cuenta en la fase de sanción y no tiene incidencia en la publicación, que debe realizarse independientemente de las circunstancias. Este argumento no me convence. En efecto, la publicación responde a objetivos que, si bien se inscriben en el marco de la lucha antidopaje, son específicos e implican una ponderación de los intereses en juego que permita tener en cuenta las exigencias del RGPD, que no se consideran en la fase de la sanción antidopaje.

169.

Por consiguiente, soy de la opinión de que una obligación de publicar datos personales como la que resulta de la ADBG y aplican la ÖADR y la NADA solo es admisible en la medida en que, habida cuenta de los objetivos de disuasión y de evitación de la elusión de las normas antidopaje que se persiguen, sea proporcionada, en particular en cuanto al alcance y a la duración de la publicación, considerando las circunstancias específicas que concurran, extremo que corresponde comprobar al órgano jurisdiccional remitente.

Sobre el momento de la ponderación

170.

El órgano jurisdiccional remitente pregunta si el RGPD exige, antes de la publicación, una ponderación caso por caso de los intereses en juego por parte del responsable del tratamiento o si es suficiente con el control de proporcionalidad previsto por el legislador.

171.

En el presente asunto, el legislador ha contemplado situaciones predefinidas con independencia de las circunstancias propias de cada caso individual, mencionando los elementos de la publicación y previendo, no obstante, ciertas excepciones. Así, ya ha proporcionado un marco para la publicación y ha realizado una cierta ponderación entre el interés de los deportistas cuyos datos personales se divulgan, por una parte, y los intereses vinculados a la lucha antidopaje, por otra.

172.

No obstante, es preciso observar que, como responsables del tratamiento designados por el legislador nacional, los organismos nacionales antidopaje en cuestión (en el presente asunto, la NADA y la ÖADR) siguen, con arreglo al artículo 5, apartado 2, del RGPD, estando a cargo de la aplicación del tratamiento y siendo responsables (accountable) del respeto de los principios de licitud y proporcionalidad de dicho tratamiento, así como del respeto del principio de minimización. Además, deben estar en condiciones de demostrar que se cumple lo dispuesto en el apartado 1 de esta disposición.

173.

Asimismo, en virtud de los artículos 24, apartado 1, y 25, apartado 1, del RGPD, deben aplicar medidas técnicas y organizativas apropiadas (como la seudonimización) tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento. Estas medidas, que deben revisarse y actualizarse en caso de que sea necesario, están destinadas a aplicar de manera efectiva los principios relativos a la protección de datos y a acompañar el tratamiento de las garantías necesarias para cumplir los requisitos del RGPD y proteger los derechos del interesado.  ( 106 )

174.

Además, procede señalar que, en el presente asunto, aunque el legislador ha determinado los fines del tratamiento y, en parte, los medios de dicho tratamiento, son la NADA y la ÖADR las que, como responsables del tratamiento y encargadas de su aplicación, han optado por la publicación en Internet y, en el caso de la ÖADR, también ha optado por publicar el nombre de la sustancia prohibida que, en su caso, se haya usado.

175.

En este contexto, me parece que la respuesta a la cuestión planteada está relacionada con el contenido y el grado de precisión de la ley nacional aplicable al responsable del tratamiento. En mi opinión, el hecho de que el legislador nacional haya establecido el principio de publicación no exime al responsable del tratamiento de su responsabilidad en materia de cumplimiento de los requisitos del RGPD y de protección de los derechos de los interesados. Lo anterior puede suponer para él que, en el marco de la aplicación de la legislación nacional, tenga en cuenta las circunstancias específicas del asunto.  ( 107 ) Por lo demás, he de observar que, en el presente asunto, debe llevar a cabo esta ponderación caso por caso respecto de la publicación de datos de los deportistas suspendidos que están amparados por las excepciones previstas en la ADBG.

176.

Por consiguiente, considero que las disposiciones del RGPD citadas, si bien no lo exigen en todos los casos, pueden implicar que el responsable del tratamiento lleve a cabo una ponderación caso por caso de los intereses en juego al determinar, en particular, los medios del tratamiento, por tanto, incluso antes de la publicación. A este respecto, podrían tenerse en cuenta factores referidos a la naturaleza, al alcance, al contexto y a los fines del tratamiento, así como a los riesgos, cuyo grado de probabilidad y gravedad puede variar, para los derechos y libertades de dichas personas.

177.

Ni la alegación según la cual tal margen de apreciación del responsable del tratamiento puede dar lugar a una discriminación entre deportistas que se encuentren en situaciones comparables, ni el riesgo de arbitrariedad, de abuso o incluso de corrupción, mencionados en particular por la Comisión y la NADA, pueden justificar que se prescinda de tal ponderación caso por caso, cuyo objetivo es tratar los datos personales de conformidad con el RGPD. En efecto, esta ponderación puede precisamente evitar la discriminación que podría resultar de aplicar un trato idéntico a situaciones diferentes.

178.

De ello se sigue, en mi opinión, que los artículos 5 y 6 del RGPD, a la luz del conjunto de obligaciones y responsabilidades que incumben al responsable del tratamiento, deben interpretarse en el sentido de que no se oponen a una ponderación caso por caso de los intereses en juego por parte del responsable del tratamiento antes de dicho tratamiento de datos, o incluso, en determinadas circunstancias, en el sentido de que exigen tal ponderación si es necesaria para tratar los datos personales de conformidad con el RGPD.

Conclusiones sobre las cuestiones prejudiciales tercera y cuarta

179.

Habida cuenta de lo anterior, propongo al Tribunal de Justicia que responda a la tercera cuestión prejudicial que los artículos 5, apartado 1, letras a) y c), y 6, apartado 3, párrafo segundo, del RGPD deben interpretarse en el sentido de que se oponen a una obligación, impuesta a los organismos nacionales antidopaje, de publicar datos personales, como los nombres de los deportistas sancionados por infracción de la normativa antidopaje, la duración de la suspensión impuesta y sus motivos (en particular el nombre de la sustancia prohibida), cuando, considerando las circunstancias específicas que concurran, la exigencia de proporcionalidad no se cumpla o haya dejado de cumplirse, concretamente en lo referente al alcance y a la duración de la publicación, extremo que corresponde comprobar al órgano jurisdiccional remitente.

180.

En cuanto a la cuarta cuestión prejudicial, propongo al Tribunal de Justicia que considere que los artículos 5 y 6 del RGPD, a la luz del conjunto de obligaciones y responsabilidades que incumben al responsable del tratamiento, deben interpretarse en el sentido de que exigen que lleve a cabo, antes del tratamiento de datos, una ponderación caso por caso de los intereses en juego si es necesario para tratar los datos personales de conformidad con el RGPD.

Séptima cuestión prejudicial

181.

Para comprender la séptima cuestión prejudicial, procede recordar el contexto en el que se plantea. La recurrente YT, antes incluso de que sus datos personales se publicaran en los sitios de Internet de la NADA y de la ÖADR, presentó una reclamación ante la Autoridad Austriaca de Protección de Datos basada en el artículo 17 del RGPD, que establece el derecho de supresión. Esta última autoridad desestimó la reclamación de YT porque los datos en cuestión aún no habían sido publicados. La publicación de dichos datos tuvo lugar posteriormente, durante el procedimiento de recurso contra la desestimación de su reclamación acordada por la Autoridad Austriaca de Protección de Datos.

182.

Mediante su séptima cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en primer lugar, si una reclamación, presentada con arreglo al artículo 77 del RGPD, relativa a una supuesta vulneración del derecho de supresión (artículo 17 del RGPD) es admisible aunque el tratamiento de datos personales del interesado aún no haya tenido lugar en el momento en que presenta la reclamación ante la autoridad de control y en el momento en que dicha autoridad adopta una decisión.

183.

Se pregunta, en segundo lugar, por la admisibilidad de tal reclamación a posteriori si, en el momento en que se presentó la reclamación, ya existían indicios concretos de que el tratamiento de datos personales por parte del responsable del tratamiento era inminente o tendría lugar en un futuro próximo.

¿Es admisible una reclamación ante la autoridad de control antes del tratamiento de datos?

184.

El artículo 77, apartado 1, del RGPD establece que todo interesado tiene derecho a presentar una reclamación ante una autoridad de control «si considera que el tratamiento de datos personales que le conciernen infringe el presente Reglamento».

185.

Con arreglo a reiterada jurisprudencia del Tribunal de Justicia, para interpretar esta disposición no solo tendré en cuenta su tenor literal, sino también su contexto y los objetivos perseguidos por la normativa de la que forma parte.  ( 108 )

186.

En primer lugar, el texto del artículo 77 del RGPD no impone un plazo para presentar una reclamación relativa al tratamiento de datos personales. En los casos en que el tratamiento se haya efectuado y, posteriormente, se impugne, cuanto antes se presente la reclamación, antes podrá llevarse a cabo el control por parte de la autoridad y antes podrá garantizarse la protección del interesado.  ( 109 ) En cambio, el texto del artículo 77, apartado 1, del RGPD no contempla el supuesto en el que el tratamiento aún no ha tenido lugar. A este respecto, ha de señalarse que esta disposición emplea el término «infringe» en presente, lo que parece implicar que el tratamiento ya debe haber tenido lugar, pero la posibilidad de un tratamiento futuro no está, como tal, excluida.  ( 110 )

187.

En segundo lugar, en cuanto a los elementos contextuales, procede mencionar las funciones y los poderes de las autoridades de control. A este respecto, en virtud del artículo 57, apartado 1, letra f), del RGPD, incumbe a cada autoridad de control tratar las reclamaciones presentadas por todo interesado, investigar, en la medida oportuna, el motivo de la reclamación e informar al reclamante sobre el curso y el resultado de la investigación en un plazo razonable. Así, la autoridad de control debe proceder al tratamiento de esas reclamaciones «con toda la diligencia exigible».  ( 111 )

188.

Además, el artículo 58, apartado 1, del RGPD confiere a cada autoridad de control importantes poderes de investigación para tramitar las reclamaciones presentadas. Cuando una de esas autoridades, al finalizar su investigación, constata una infracción de las disposiciones de dicho Reglamento, está obligada a reaccionar de modo adecuado con el fin de subsanar la insuficiencia constatada. A tal efecto, el artículo 58, apartado 2, del mencionado Reglamento enumera los diferentes poderes correctivos de que dispone la autoridad de control, que cuenta, a este respecto, con un margen de apreciación en lo que atañe a la elección de los medios adecuados y necesarios.  ( 112 ) Entre los poderes de la autoridad de control establecidos en el artículo 58, apartado 2, letra a), del RGPD, esta puede dirigir una «advertencia» a todo responsable del tratamiento cuando las operaciones de tratamiento «previstas» «puedan» infringir lo dispuesto en el RGPD, lo que se inscribe en un enfoque que cabe calificar de «cautelar» respecto de los derechos del interesado.  ( 113 )

189.

Todos estos requisitos y poderes de las autoridades de control tienen por objeto reforzar el procedimiento de reclamación con el fin de convertirlo en un mecanismo capaz de proteger de manera eficaz los derechos y los intereses de los interesados, es decir, «un auténtico recurso administrativo».  ( 114 )

190.

Cabe señalar también, entre los elementos contextuales, que, como subraya la Comisión, el responsable del tratamiento debe cumplir determinadas obligaciones, y en particular informar al interesado antes de proceder al tratamiento.  ( 115 )

191.

Por lo tanto, me parece que, en el contexto del RGPD, no puede excluirse a priori un enfoque cautelar o preventivo por parte de las autoridades de control en el marco de la tramitación de las reclamaciones.

192.

En tercer lugar, esta interpretación se ve confirmada por los objetivos que persigue dicho Reglamento. En efecto, de su considerando 10 resulta, en particular, que su objetivo es garantizar un elevado nivel de protección de las personas físicas en lo que respecta al tratamiento de datos personales dentro de la Unión. El considerando 11 del referido Reglamento establece, además, que la protección efectiva de esos datos requiere que se refuercen los derechos de los interesados.

193.

Pues bien, restringir la obligación que incumbe a las autoridades de control de tramitar las reclamaciones, en virtud del artículo 57, apartado 1, letra f), del RGPD, interpretando su artículo 77, apartado 1, en el sentido de que excluye toda posibilidad de presentar una reclamación ante una autoridad de control «en vistas de un tratamiento» podría ser contrario a los objetivos perseguidos por dicho Reglamento, en particular al objetivo de garantizar un elevado nivel de protección de las personas físicas en lo que respecta al tratamiento de datos personales dentro de la Unión.

194.

Por lo tanto, estimo, a la luz de todas estas consideraciones, que no cabe descartar que una reclamación presentada al amparo del artículo 77 del RGPD pueda ser admisible a pesar de que el tratamiento de datos personales del interesado aún no haya tenido lugar en el momento de la presentación de su reclamación ante la autoridad de control.

195.

No obstante, considero, al igual que la Comisión y el Gobierno austriaco, que la presunta infracción del RGPD debe prestarse a ello y que el tratamiento en cuestión, que en el presente asunto consiste en la publicación de datos personales, no puede tener un carácter meramente hipotético.  ( 116 )

196.

En el presente asunto, el Tribunal de Justicia conoce de una solicitud, basada en el artículo 17 del RGPD, relativa a una reclamación que tiene por objeto la supresión de los datos en cuestión, y la recurrente en el litigio principal de que se trata (YT) indica a este respecto que la publicación de sus datos era «casi sin dudas inminente».

197.

Pues bien, una reclamación que tiene por objeto la supresión de dichos datos (al igual que una solicitud de rectificación de los datos) presupone, por definición, que haya tenido lugar el tratamiento de que se trate, en el presente asunto la publicación de los datos. En efecto, parece imposible que el responsable del tratamiento pueda acoger una reclamación de este tipo y suprimir los datos si aún no han sido divulgados, a menos que tal reclamación se interprete en el sentido de que en realidad pretende impedir la publicación de dichos datos  ( 117 ) (y no suprimirlos), extremo que corresponde apreciar al órgano jurisdiccional remitente.

198.

He de añadir que tal interpretación no es contraria a los objetivos de garantizar un elevado nivel de protección de los datos personales, puesto que otras disposiciones del RGPD permiten responder a las solicitudes relativas a un tratamiento futuro. En efecto, como indica el Gobierno austriaco, el artículo 79, apartado 1, del RGPD, relativo al derecho a la tutela judicial efectiva, implica la existencia, en el Derecho nacional, de acciones procesales en caso de amenaza de injerencia ilícita inminente en los derechos conferidos por el RGPD. Esto incluye la posibilidad, con arreglo al Derecho austriaco, de ejercer acciones de cesación preventivas antes del inicio del tratamiento, o incluso, si el tratamiento ha comenzado, la posibilidad de solicitar a la autoridad austriaca que controle la limitación de dicho tratamiento sobre la base del artículo 18 del RGPD.

199.

Por lo tanto, considero que no cabe descartar que una reclamación presentada con arreglo al artículo 77 del RGPD pueda ser admisible a pesar de que el tratamiento de datos personales del interesado aún no haya tenido lugar en el momento de la presentación de su reclamación ante la autoridad de control, pero tenga un carácter que no sea meramente hipotético. No obstante, en las circunstancias del litigio principal, la reclamación, basada en el derecho de supresión establecido en el artículo 17 del RGPD, no es admisible, puesto que se refiere a un tratamiento (en este caso, la publicación de los datos personales del interesado) que, aun cuando fuera inminente, no se había producido ni en el momento en que dicho interesado presentó su reclamación ante la autoridad de control ni en el momento en que esta última adoptó la decisión.

¿Pasa a ser admisible «a posteriori» la reclamación presentada ante la autoridad de control?

200.

Es preciso observar que esta cuestión se refiere a la interpretación del artículo 77 del RGPD, relativo al derecho a presentar una reclamación ante la autoridad de control. Por lo tanto, parece que el órgano jurisdiccional remitente pregunta si una reclamación de este tipo que ha sido declarada inadmisible podría pasar a ser admisible a posteriori ante la autoridad de control si el tratamiento en cuestión (en este caso, la divulgación de los datos) se produce mientras está pendiente ante el órgano jurisdiccional de apelación un recurso contra la decisión de dicha autoridad de control. Me parece que, a este respecto, corresponde al ordenamiento jurídico interno dilucidar la cuestión de si el juez de apelación podría, o incluso debería, en esta situación, remitir la cuestión a la autoridad de control para que la reconsidere a la luz de los nuevos elementos de hecho, si incumbe al interesado volver a presentar una reclamación o si el propio juez de apelación puede pronunciarse sobre la situación que se le plantea considerando los nuevos elementos de hecho, a saber, en el presente asunto, la publicación de los datos. A este respecto, debe velarse por la efectividad de la protección de los derechos garantizados por el RGPD y la aplicación coherente y homogénea de sus disposiciones.

201.

En la medida en que, como indica el Gobierno austriaco, deba entenderse la cuestión prejudicial planteada por el órgano jurisdiccional remitente en el sentido de que se refiere a la admisibilidad de tal reclamación ante el juez que conoce del recurso de apelación, se trata en tal caso de examinar las consecuencias de los efectos anudados a un cambio en los hechos, a saber, el tratamiento consistente en la publicación de datos personales efectuado tras la decisión de la autoridad de control y mientras está pendiente de resolución un recurso judicial, interpuesto sobre la base del artículo 78 del RGPD, contra dicha decisión, en el supuesto de que, en el momento de la reclamación, existieran indicios concretos de que el tratamiento de datos personales por parte del responsable del tratamiento era inminente o tendría lugar en un futuro próximo.

202.

Ha de recordarse que el legislador de la Unión ha intervenido, en el marco del RGPD, para ofrecer diferentes vías de recurso a las personas que invocan una infracción de dicho Reglamento, entendiéndose que cada una de estas vías de recurso debe poder ejercerse «sin perjuicio» de las demás.  ( 118 )

203.

Así, el artículo 78, apartado 1, del RGPD establece que, sin perjuicio de cualquier otro recurso administrativo o extrajudicial, toda persona física o jurídica tendrá derecho a la tutela judicial efectiva contra una decisión jurídicamente vinculante de una autoridad de control que le concierna. De ello se desprende que los tribunales que conozcan de un recurso contra una decisión de una autoridad de control deben disponer de una competencia plena y, en particular, de competencia para examinar todas las cuestiones de hecho y de Derecho relativas al litigio del que conozcan.  ( 119 ) El control judicial sobre una decisión relativa a una reclamación dictada por una autoridad de control, para ser «efectivo», como exige la citada disposición, es, por lo tanto, pleno.  ( 120 ) Además, el artículo 79, apartado 1, de este Reglamento garantiza a todo interesado el derecho a la tutela judicial efectiva «sin perjuicio de los recursos administrativos o extrajudiciales disponibles, incluido el derecho a presentar una reclamación ante una autoridad de control en virtud del artículo 77».

204.

Es cierto que ya se ha declarado que, mediante la adopción del RGPD, el legislador de la Unión no pretendió proceder a una armonización exhaustiva de las vías de recurso disponibles en caso de infracción de las disposiciones del RGPD, previstas en los artículos 77 a 79 de dicho Reglamento.  ( 121 ) En particular, el RGPD no contiene disposiciones específicas para el caso en que se presenta una reclamación ante una autoridad de control y se ejercitan acciones judiciales en un mismo Estado miembro en relación con un mismo tratamiento de datos personales.

205.

No obstante, aunque el legislador de la Unión no ha pretendido proceder a una armonización exhaustiva a este respecto, no por ello ha querido excluir la posibilidad evocada en la cuestión prejudicial planteada por el órgano jurisdiccional remitente, a saber, declarar la admisibilidad a posteriori de una reclamación presentada en unas circunstancias como las del litigio principal.

206.

Por lo tanto, a falta de normativa de la Unión en la materia, cada Estado miembro debe configurar, en virtud del principio de autonomía procesal de los Estados miembros, la regulación de los procedimientos administrativos y judiciales destinados a asegurar un nivel elevado de salvaguarda de los derechos que el Derecho de la Unión confiere a los justiciables. En este contexto, incumbe al juez nacional velar por la efectividad de la protección de los derechos garantizados por el RGPD, la aplicación coherente y homogénea de las disposiciones de este y el derecho a la tutela judicial efectiva consagrado en el artículo 47 de la Carta.  ( 122 )

207.

Por lo tanto, corresponde al órgano jurisdiccional remitente determinar, sobre la base de las disposiciones procesales nacionales, cómo deben aplicarse en cada caso las vías de recurso previstas por la normativa nacional. A este respecto, debe asegurarse de que la regulación concreta del ejercicio de las vías de recurso no afecte de forma desproporcionada al derecho a la tutela judicial efectiva. Asimismo, debe velar por que se salvaguarde la efectividad de la protección de los derechos garantizados por el RGPD y por que esta regulación respete los principios de efectividad y de equivalencia.  ( 123 )

208.

Dado que el órgano jurisdiccional remitente no ha proporcionado aclaraciones sobre las posibilidades que ofrece su Derecho nacional, procede considerar, en mi opinión, que el artículo 77, apartado 1, del RGPD, a la luz de su artículo 78, apartado 1, debe interpretarse en el sentido de que no se opone a la admisibilidad de una reclamación que ha sido previamente declarada inadmisible por la autoridad de control, cuando el tratamiento de datos tiene lugar mientras está pendiente ante el juez el recurso judicial relativo a los mismos hechos. Corresponde al ordenamiento jurídico interno regular, respetando los principios de equivalencia y de efectividad, las condiciones de dicha admisibilidad, tanto ante la autoridad de control como ante el juez, de manera que se vele por la efectividad de la protección de los derechos garantizados por el RGPD, la aplicación coherente y homogénea de sus disposiciones y el derecho a la tutela judicial efectiva.

Conclusión sobre la séptima cuestión prejudicial

209.

Habida cuenta de todas las consideraciones que anteceden, propongo al Tribunal de Justicia que responda a la séptima cuestión prejudicial que el artículo 77 del RGPD debe interpretarse en el sentido de que una reclamación, presentada sobre la base del artículo 17 de este Reglamento (por supuesta vulneración del derecho de supresión), no es admisible cuando se refiere a un tratamiento de publicación de datos personales del interesado que, aun cuando fuera inminente, no existía ni en el momento en que dicho interesado presentó la reclamación ante la autoridad de control ni en el momento en que esta última adoptó la decisión, sin perjuicio, no obstante, de la posible admisibilidad de una reclamación relativa a un tratamiento de datos personales que no sea meramente hipotético y que se preste a una actuación preventiva o cautelar de la autoridad de control.

210.

Además, examinado a la luz del artículo 78, apartado 1, del RGPD, el artículo 77 de este Reglamento no se opone a la admisibilidad de una reclamación que ha sido previamente declarada inadmisible por la autoridad de control, cuando el tratamiento de datos tiene lugar mientras está pendiente ante el juez el recurso judicial relativo a los mismos hechos. Corresponde al ordenamiento jurídico interno regular, respetando los principios de equivalencia y de efectividad, las condiciones de dicha admisibilidad, tanto ante la autoridad de control como ante el juez, de manera que se vele por la efectividad de la protección de los derechos garantizados por el RGPD, la aplicación coherente y homogénea de sus disposiciones y el derecho a la tutela judicial efectiva.

Conclusión

211.

Habida cuenta de lo anterior, propongo al Tribunal de Justicia que responda a las cuestiones prejudiciales planteadas por el Bundesverwaltungsgericht (Tribunal Federal de lo Contencioso-Administrativo, Austria) del siguiente modo:

–

una reclamación, presentada sobre la base del artículo 17 de este Reglamento (por supuesta vulneración del derecho de supresión), no es admisible cuando se refiere a un tratamiento de publicación de datos personales del interesado que, aun cuando fuera inminente, no existía ni en el momento en que dicho interesado presentó la reclamación ante la autoridad de control ni en el momento en que esta última adoptó la decisión, sin perjuicio, no obstante, de la posible admisibilidad de una reclamación relativa a un tratamiento de datos personales que no sea meramente hipotético y que se preste a una actuación preventiva o cautelar de la autoridad de control;

–

examinado a la luz del artículo 78, apartado 1, del Reglamento 2016/679, no se opone a la admisibilidad de una reclamación que ha sido previamente declarada inadmisible por la autoridad de control, cuando el tratamiento de datos tiene lugar mientras está pendiente ante el juez el recurso judicial relativo a los mismos hechos. Corresponde al ordenamiento jurídico interno regular, respetando los principios de equivalencia y de efectividad, las condiciones de dicha admisibilidad, tanto ante la autoridad de control como ante el juez, a fin de que se vele por la efectividad de la protección de los derechos garantizados por el Reglamento 2016/679, la aplicación coherente y homogénea de sus disposiciones y el derecho a la tutela judicial efectiva.»