Introducere

1.

Reglementările sportive se află la intersecția mai multor surse normative. Acest lucru este ilustrat de reglementările antidoping, care sunt rezultatul unei coproducții normative private și publice. În special, Codul mondial antidoping (CMA), adoptat în temeiul Statutului Agenției Mondiale Antidoping (WADA), este un instrument cu caracter privat pe care statele semnatare s‑au angajat să îl respecte prin intermediul Convenției internaționale a Organizației Națiunilor Unite împotriva dopajului în sport ( 2 ). Această reglementare, destinată să armonizeze politicile, normele și regulamentele antidoping ale organizațiilor sportive și ale autorităților publice din întreaga lume, formează astfel un sistem juridic sectorial transnațional specific ( 3 ).

2.

Curtea a fost deja chemată să se pronunțe cu privire la compatibilitatea reglementărilor sportive cu dreptul Uniunii, îndeosebi din perspectiva liberei prestări a serviciilor sau a concurenței ( 4 ).

3.

Prezenta cauză oferă Curții ocazia inedită ( 5 ) de a aborda anumite aspecte ale reglementării antidoping în raport cu cerințele legate de protecția datelor cu caracter personal. Astfel, este vorba de concilierea, pe de o parte, a cerințelor eticii sportive, care s‑ar traduce în speță prin publicarea nominală, online, a sancțiunilor aplicate sportivilor atunci când încalcă normele antidoping și, pe de altă parte, a protecției datelor cu caracter personal ale acestor sportivi, care decurge din Regulamentul (UE) 2016/679 (denumit în continuare „RGPD”) ( 6 ).

4.

Într‑un moment în care CMA este în curs de revizuire ( 7 ), domeniul de aplicare al hotărârii care urmează să fie pronunțată ar putea depăși frontierele europene.

Cadrul juridic

Dreptul Uniunii

5.

Articolul 16 TFUE prevede la alineatul (1) că orice persoană are dreptul la protecția datelor cu caracter personal care o privesc. Alineatul (2) al acestuia prevede că „Parlamentul European și Consiliul, hotărând în conformitate cu procedura legislativă ordinară, stabilesc normele privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii, precum și de către statele membre în exercitarea activităților care fac parte din domeniul de aplicare a dreptului Uniunii, precum și normele privind libera circulație a acestor date. Respectarea acestor norme face obiectul controlului unor autorități independente”.

6.

Articolul 165 TFUE prevede la alineatul (2) că acțiunea Uniunii urmărește în special „să dezvolte dimensiunea europeană a sportului, prin promovarea spiritului de echitate și de deschidere în competițiile sportive și a cooperării între organizațiile cu responsabilități în domeniul sportului, precum și prin protejarea integrității fizice și morale a sportivilor, îndeosebi a celor mai tineri dintre aceștia”. În acest scop, alineatul (4) al acestuia prevede că „Consiliul adoptă recomandări, la propunerea Comisiei”.

7.

Potrivit considerentului (35) al RGPD, „[d]atele cu caracter personal privind sănătatea ar trebui să includă toate datele având legătură cu starea de sănătate a persoanei vizate care dezvăluie informații despre starea de sănătate fizică sau mentală trecută, prezentă sau viitoare a persoanei vizate. Acestea includ informații despre persoana fizică colectate în cadrul înscrierii acesteia la serviciile de asistență medicală […], un număr, un simbol sau un semn distinctiv atribuit unei persoane fizice pentru identificarea singulară a acesteia în scopuri medicale; informații rezultate din testarea sau examinarea unei părți a corpului sau a unei substanțe corporale, inclusiv din date genetice și eșantioane de material biologic; precum și orice informații privind, de exemplu, o boală, un handicap, un risc de îmbolnăvire, istoricul medical, tratamentul clinic sau starea fiziologică sau biomedicală a persoanei vizate, indiferent de sursa acestora, ca de exemplu, un medic sau un alt cadru medical, un spital, un dispozitiv medical sau un test de diagnostic in vitro”.

8.

Articolul 2 din RGPD, intitulat „Domeniul de aplicare material”, prevede la alineatul (1) că „[p]rezentul regulament se aplică prelucrării datelor cu caracter personal, efectuată total sau parțial prin mijloace automatizate, precum și prelucrării prin alte mijloace decât cele automatizate a datelor cu caracter personal care fac parte dintr‑un sistem de evidență a datelor sau care sunt destinate să facă parte dintr‑un sistem de evidență a datelor”. Din articolul 2 alineatul (2) litera (a) din RGPD rezultă că acest regulament nu se aplică prelucrării datelor cu caracter personal „în cadrul unei activități care nu intră sub incidența dreptului Uniunii”.

9.

Articolul 4 din RGPD, intitulat „Definiții”, prevede la punctul 15 că, în sensul acestui regulament, „«date privind sănătatea» înseamnă date cu caracter personal legate de sănătatea fizică sau mentală a unei persoane fizice, inclusiv prestarea de servicii de asistență medicală, care dezvăluie informații despre starea de sănătate a acesteia”.

10.

Articolul 5 din regulamentul menționat, intitulat „Principii legate de prelucrarea datelor cu caracter personal”, prevede:

11.

Articolul 6 din același regulament, intitulat „Legalitatea prelucrării”, prevede:

12.

Articolul 9 alineatul (1) din RGPD, intitulat „Prelucrarea de categorii speciale de date cu caracter personal”, interzice printre altele prelucrarea datelor cu caracter personal privind sănătatea. Din articolul 9 alineatul (2) litera (g) din acest regulament rezultă că alineatul (1) nu se aplică în cazul în care „prelucrarea este necesară din motive de interes public major, în baza dreptului Uniunii sau a dreptului intern, care este proporțional cu obiectivul urmărit, respectă esența dreptului la protecția datelor și prevede măsuri corespunzătoare și specifice pentru protejarea drepturilor fundamentale și a intereselor persoanei vizate”.

13.

Articolul 10 din RGPD, intitulat „Prelucrarea de date cu caracter personal referitoare la condamnări penale și infracțiuni”, prevede că „[p]relucrarea de date cu caracter personal referitoare la condamnări penale și infracțiuni […] se efectuează numai sub controlul unei autorități de stat sau atunci când prelucrarea este autorizată de dreptul Uniunii sau de dreptul intern care prevede garanții adecvate pentru drepturile și libertățile persoanelor vizate. Orice registru cuprinzător al condamnărilor penale se ține numai sub controlul unei autorități de stat”.

14.

Articolul 77 din RGPD, intitulat „Dreptul de a depune o plângere la o autoritate de supraveghere”, prevede la alineatul (1):

15.

Articolul 78 din RGPD, intitulat „Dreptul la o cale de atac judiciară eficientă împotriva unei autorități de supraveghere”, prevede la alineatul (1):

Dreptul austriac

16.

Din articolul 5 alineatul (5) din Anti‑Doping‑Bundesgesetz 2021 (Legea federală antidoping din 2021) din 23 decembrie 2020 (BGBl. I, 152/2020) (denumită în continuare „ADBG”) rezultă că Nationale Anti‑Doping Agentur Austria GmbH (Agenția Independentă Antidoping, Austria, denumită în continuare „NADA”) este o societate de utilitate publică cu răspundere limitată care îndeplinește atribuțiile organismului independent de control antidoping și este operator de date cu caracter personal.

17.

În conformitate cu articolul 5 alineatul (6) punctul 4 din ADBG, NADA informează Bundes‑Sportorganisation (Organizația Federală Austriacă a Sportului), organizațiile sportive, sportivii, alte persoane, precum și organizatorii de competiții și pune la dispoziția publicului larg în mod gratuit anumite informații, și anume „măsurile de siguranță (de exemplu, suspendările) și interdicțiile impuse sportivilor și altor persoane, de care a luat cunoștință […] și ridicarea acestora, cu menționarea numelui persoanei respective, a duratei interdicției și a motivelor acesteia, fără ca din aceste informații să poată fi deduse categorii speciale de date cu caracter personal, în special date privind sănătatea, ale persoanelor vizate. Această informație poate fi omisă în cazul persoanelor foarte vulnerabile și al sportivilor amatori […]”.

18.

Articolul 6 alineatul (2) din ADBG prevede în special că NADA asigură, în conformitate cu articolele 32-34 din RGPD, securitatea datelor cu caracter personal și a categoriilor speciale de date cu caracter personal. Această dispoziție precizează că „[n]ecesitatea prelucrării datelor rezultă din punerea în aplicare eficientă a dispozițiilor antidoping ale CMA și a dispozițiilor prezentei legi federale, cu condiția ca persoanele vizate să se fi obligat prin convenție să respecte CMA”. În plus, „[c]ategoriile speciale de date cu caracter personal, în special datele privind sănătatea, pot fi prelucrate numai dacă este absolut necesar în conformitate cu dispozițiile antidoping ale prezentei legi federale și ale CMA”.

19.

Österreichische Anti‑Doping Rechtskommission (Comisia Juridică Austriacă Antidoping, denumită în continuare „ÖADR”) este o comisie publică și independentă față de organele de stat, de particulari și de NADA, care, în temeiul articolului 7 alineatul (1) din ADBG, trebuie „să desfășoare procedurile disciplinare pentru federația sportivă federală competentă, în conformitate cu dispozițiile antidoping aplicabile ale federației sportive internaționale competente (procedura antidoping)”.

20.

În temeiul articolului 21 alineatul (3) din ADBG, ÖADR trebuie, „[î]n termen de cel mult 20 de zile de la rămânerea definitivă a hotărârii, să informeze Bundes‑Sportorganisation [Organizația Federală a Sportului], organizațiile sportive, sportivii, alte persoane și organizatorii de competiții, precum și publicul larg despre măsurile de siguranță aplicate (de exemplu, suspendări) și despre deciziile din procedura antidoping, cu menționarea numelui persoanei vizate, a duratei interdicției și a motivelor care au determinat impunerea acesteia, fără ca din aceste informații să poată fi deduse date privind sănătatea persoanei vizate. Această informație poate fi omisă în cazul persoanelor foarte vulnerabile, al sportivilor amatori, precum și al persoanelor care prin dezvăluirea de informații sau a altor indicii au contribuit în mod substanțial la descoperirea unor încălcări potențiale ale dispozițiilor antidoping. În cazul sportivilor amatori, dezvăluirea are loc pentru motive de sănătate publică atunci când s‑a constatat o încălcare a reglementărilor antidoping potrivit articolului 1 alineatul (2) punctele 3, 9-11”.

21.

Rezultă în esență din articolul 23 alineatul (14) din ADBG că Unabhängige Schiedskommission (Comisia Independentă de Arbitraj, Austria, denumită în continuare „USK”) are aceleași obligații.

Litigiul principal, întrebările preliminare și procedura în fața Curții

22.

În cadrul procedurilor antidoping, sportivii AR, YT, DI și RN (denumiți în continuare „reclamanții”) au făcut obiectul unor decizii de suspendare (pentru o perioadă determinată sau pe viață, după caz), emise fie de ÖADR, competentă să desfășoare procedurile antidoping, fie de USK, competentă să reexamineze deciziile ÖADR.

23.

În temeiul legislației antidoping austriece, suspendările stabilite de ÖADR sau de USK sunt publicate de către NADA pe o listă pe site‑ul său. Pe durata suspendărilor, această listă cuprinde prenumele și numele sportivului vizat, sportul practicat, încălcarea normelor antidoping săvârșită, sancțiunea aplicată, precum și data de început și de sfârșit a acesteia. ÖADR publică de asemenea, într‑un comunicat pe propriul site, aceleași date, precum și substanța interzisă eventual în cauză.

24.

Reclamanții au solicitat ÖADR și NADA, la 14 și la 15 octombrie 2021, ca numele lor și disciplinele sportive respective să nu mai fie accesibile public. ÖADR și NADA nu au dat curs acestor cereri.

25.

La 22 octombrie 2021, reclamanții au sesizat Österreichische Datenschutzbehörde (Autoritatea austriacă pentru protecția datelor, Austria, denumită în continuare „autoritatea austriacă pentru protecția datelor”) cu o plângere în conformitate cu articolul 77 alineatul (1) din RGPD, având ca obiect constatarea încălcării dreptului la ștergerea datelor și restricționarea prelucrării lor și obligarea ÖADR și a NADA la eliminarea numelor lor și a sporturilor practicate, publicate pe site‑urile menționate. De asemenea ei au susținut că era vorba de o categorie specială de date cu caracter personal, precum și de o prelucrare a datelor cu caracter personal referitoare la condamnări penale și infracțiuni, în sensul articolelor 9 și, respectiv, 10 din RGPD. Regimul nediferențiat al publicării prevăzut în dreptul austriac ar fi incompatibil cu articolul 6 alineatul (3) din RGPD și nu ar fi nici necesar, nici proporțional.

26.

La 26 noiembrie 2021, autoritatea austriacă pentru protecția datelor a respins ca neîntemeiată această plângere. Referitor mai precis la cazul lui YT, plângerea sa a fost respinsă pentru lipsa interesului de a formula plângere, întrucât datele sale nu fuseseră încă publicate.

27.

Reclamanții au introdus atunci o acțiune la Bundesverwaltungsgericht (Tribunalul Administrativ Federal, Austria), care este instanța de trimitere, întemeiată pe articolul 78 alineatul (1) din RGPD. În acest context, NADA, prima pârâtă în litigiul principal, a susținut că publicarea datelor cu caracter personal pe site‑ul său era necesară pentru respectarea unei obligații legale care îi revenea și pentru îndeplinirea unei sarcini care servea unui interes public în sensul articolului 6 alineatul (1) literele (c) și (e) din RGPD.

28.

Instanța de trimitere a suspendat procedura principală ca urmare a introducerii de către USK a unei cereri de decizie preliminară în cauza NADA ș.a. ( 8 ). După respingerea acestei cereri pentru inadmisibilitate prin Hotărârea din 7 mai 2024 ( 9 ), procedura națională în fața instanței de trimitere și‑a reluat cursul.

29.

În acest context, Bundesverwaltungsgericht (Tribunalul Administrativ Federal) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:

30.

Reclamanții din litigiul principal, NADA, autoritatea austriacă pentru protecția datelor, Comisia, precum și guvernele austriac, leton, neerlandez, polonez și finlandez au depus observații scrise. Reclamanții din litigiul principal, NADA, Comisia, precum și guvernele austriac, leton și finlandez au prezentat și observații orale în ședința care a avut loc în mod public la 13 mai 2025.

Analiză

31.

După examinarea primei întrebări preliminare privind aplicabilitatea RGPD, vom analiza a doua, a cincea și a șasea întrebare, care privesc anumite date concrete, înainte de a aborda problema legată de principiul proporționalității (a treia și a patra întrebare preliminară). La sfârșit vom examina a șaptea întrebare, care este de natură mai procedurală.

Cu privire la prima întrebare

32.

Prin intermediul primei întrebări, instanța de trimitere solicită în esență să se stabilească dacă punerea în aplicare a legislației antidoping constituie sau nu o „activitate” care face parte din „domeniul de aplicare al dreptului Uniunii” în sensul articolului 16 alineatul (2) prima teză TFUE.

33.

Miza acestui răspuns este importantă, întrucât, în cazul unui răspuns negativ, RGPD nu s‑ar aplica în litigiul principal. Într‑adevăr, RGPD, adoptat în temeiul articolului 16 TFUE, exclude din domeniul său de aplicare, prin articolul 2 alineatul (2) litera (a), prelucrarea datelor cu caracter personal în cadrul unei activități „care nu intră sub incidența dreptului Uniunii”.

34.

Cu titlu introductiv, și chiar dacă nu este menționată de instanța de trimitere, dorim să amintim că excepția vizată la articolul 2 alineatul 2 litera (d) din RGPD stabilește că acest regulament nu se aplică prelucrării datelor cu caracter personal „de către autoritățile competente în scopul prevenirii, investigării, depistării sau urmăririi penale a infracțiunilor, sau al executării sancțiunilor penale […]”. Excepția respectivă se explică prin faptul că prelucrările datelor cu caracter personal în astfel de scopuri de către „autoritățile competente” sunt reglementate de un act mai specific al Uniunii, și anume Directiva (UE) 2016/680 ( 10 ), adoptată în aceeași zi cu RGPD. În acest stadiu, nu este exclus ca, în speță, să poată fi îndeplinit criteriul material al acestei excepții. Astfel, aspectul dacă prelucrarea datelor în discuție în speță este efectuată în scopurile vizate la articolul 2 alineatul (2) litera (d) din RGPD este legat de obiectul celei de a cincea întrebări preliminare (referitoare la articolul 10 din RGPD), care privește natura penală sau nu a sancțiunilor și a încălcărilor care fac obiectul prelucrărilor de date în cauză. Totuși, criteriul organic al excepției vizate la articolul 2 alineatul (2) litera (d) din RGPD nu a fost abordat: NADA și ÖADR sunt „autorități competente” în sensul articolului 3 alineatul (7) din Directiva 2016/680? În cazul unui răspuns negativ, RGPD se aplică, ceea ce va constitui ipoteza noastră de lucru pentru continuarea analizei. În schimb, în cazul unui răspuns afirmativ și în ipoteza în care ar fi îndeplinit și criteriul material, s‑ar ridica problema aplicabilității Directivei 2016/680 în locul RGPD, aspect a cărui verificare revine instanței de trimitere.

35.

Odată făcută această observație, arătăm că în speță nu se contestă că prelucrările de date cu caracter personal în discuție, efectuate de autoritățile austriece antidoping și care constau în publicarea pe internet a numelor sportivilor vizați, a disciplinei sportive practicate, a încălcării dispozițiilor antidoping săvârșite, a sancțiunii aplicate, precum și a datei de început și de sfârșit a acestei sancțiuni, corespund prelucrărilor cărora li se aplică RGPD în temeiul articolului 2 alineatul (1), și anume prelucrărilor de date cu caracter personal, efectuate total sau parțial prin mijloace automatizate ( 11 ).

36.

Problema mai controversată care se ridică este aceea dacă prelucrarea respectivă intră în domeniul de aplicare al excepției prevăzute la articolul 2 alineatul (2) litera (a) din RGPD.

37.

În cadrul analizei noastre, vom aminti, într‑o primă etapă, principiul interpretării stricte a excepției de la articolul 2 alineatul (2) litera (a) din RGPD și vom deduce de aici, într‑o a doua etapă, consecințele pentru activitatea antidoping în raport cu argumentele invocate de NADA.

Cu privire la interpretarea strictă a excepției de la articolul 2 alineatul (2) litera (a) din RGPD

38.

Potrivit unei jurisprudențe constante, excepția prevăzută la articolul 2 alineatul (2) litera (a) din RGPD, în măsura în care face să fie inaplicabil regimul de protecție a datelor cu caracter personal prevăzut de RGPD și se îndepărtează astfel de obiectivul său de protecție, trebuie să facă obiectul unei interpretări stricte ( 12 ).

39.

Astfel, după cum se arată în esență în considerentele (6)-(12) ale RGPD, evoluțiile tehnologice rapide, globalizarea și amploarea colectării și a schimbului de date cu caracter personal impun un cadru solid și coerent în materie de protecție a datelor în Uniune, care să asigure un nivel ridicat de protecție a drepturilor și libertăților persoanelor fizice în ceea ce privește prelucrarea acestor date, echivalent în toate statele membre, însoțit de o aplicare riguroasă a normelor, astfel încât să creeze un climat de încredere de natură să permită economiei digitale să se dezvolte pe piața internă.

40.

Prin urmare, din această perspectivă, domeniul de aplicare material al RGPD, stabilit la articolul 2, este în mod necesar larg, iar excepțiile pe care le prevede fac obiectul unei interpretări stricte. Astfel, Curtea a statuat că articolul 2 alineatul (2) litera (a) din RGPD interpretat în lumina considerentului (16) al acestuia are ca unic obiectiv excluderea din domeniul de aplicare al regulamentului menționat a prelucrărilor de date cu caracter personal efectuate în cadrul unei activități de apărare a securității naționale sau al unei activități care poate fi încadrată în aceeași categorie.

41.

Activitățile care au ca scop apărarea securității naționale cuprind în special activitățile care au ca obiect protejarea funcțiilor esențiale ale statului și a intereselor fundamentale ale societății ( 13 ).

42.

Însă nu persoanele ca atare sunt excluse din domeniul de aplicare al RGPD, ci numai activitățile în cauză ale acestora ( 14 ). Astfel, simplul fapt că o activitate este proprie statului sau unei autorități publice nu este suficient pentru ca această excepție să fie automat aplicabilă activității respective ( 15 ). De asemenea nu este suficient faptul că autorul prelucrării în cauză are activități privind securitatea națională, întrucât activitatea în cauză în cadrul prelucrării vizate este singura care este pertinentă ( 16 ). Nu este suficient nici faptul că, în cadrul unui transfer de date în scopuri comerciale dintr‑un stat membru către o țară terță, datele în cauză sunt susceptibile de a fi prelucrate, în cursul sau în urma acestui transfer, de către autoritățile țării terțe în cauză, în scopuri de siguranță publică, de apărare și de securitate a statului ( 17 ).

43.

Or, în speță, după cum a subliniat guvernul austriac, articolul 1 alineatul (1) din ADBG prevede că, „întrucât influențează aptitudinile sportive, dopajul este contrar principiului echității în competiția sportivă, precum și valorii intrinseci reale a sportului (spiritul sportiv) și, în plus, prezintă riscuri pentru sănătate”.

44.

Prin urmare, nu se poate susține că publicarea de date cu caracter personal de către NADA și ÖADR constituie o prelucrare de date în cadrul unei activități, în speță combaterea dopajului, care ar fi legată de securitatea națională sau care ar putea fi încadrată în această categorie vizată la articolul 2 alineatul (2) litera (a) din RGPD.

45.

Trebuie să se concluzioneze de aici că excepția întemeiată pe această dispoziție din RGPD nu este aplicabilă prelucrării de date în discuție în speță.

46.

Argumentele NADA, care sunt întemeiate, pe de o parte, pe faptul că activitatea antidoping ține de competența statele membre și, pe de altă parte, pe lipsa caracterului economic al activității respective, nu sunt de natură să infirme această constatare, după cum vom încerca să demonstrăm în continuare.

Activitatea „antidoping” nu este exclusă din domeniul de aplicare al RGPD…

–

… chiar dacă ține de competența statelor membre

47.

În primul rând, NADA susține că politica antidoping este un domeniu care, în conformitate cu repartizarea competențelor prevăzută de dreptul Uniunii, rămâne de resortul statelor membre, în pofida competenței de sprijinire prevăzute în domeniul sportului la articolul 165 TFUE.

48.

Totuși, faptul că prelucrarea datelor cu caracter personal are loc în cadrul unei activități care ține de competența statelor membre nu este pertinent în sine pentru a exclude această prelucrare din domeniul de aplicare al RGPD în temeiul articolului 2 alineatul (2) litera (a) din acesta, din moment ce nu ține nici de o activitate care urmărește să protejeze securitatea națională, nici de o activitate care poate fi încadrată în aceeași categorie ( 18 ).

49.

În opinia noastră, excluderea din domeniul de aplicare al RGPD a unei prelucrări efectuate în cadrul unei activități pentru simplul motiv că această activitate ar intra în competența statelor membre ar fi contrară atât textului, cât și contextului și obiectivelor acestui regulament.

50.

Astfel, atunci când textul articolului 2 alineatul (2) litera (a) din RGPD utilizează noțiunea de „activitate care nu intră sub incidența dreptului Uniunii”, acesta nu face trimitere la o logică a competenței, ci la o logică materială de definire a domeniului de aplicare de către legiuitor, în RGPD însuși, învestit în acest sens de articolul 16 alineatul (2) TFUE. Această dispoziție „constituie și deleagă” Uniunii o competență legislativă în materie de protecție și liberă circulație a datelor cu caracter personal și definește în acest scop un domeniu de aplicare specific ( 19 ). Mai mult, în contextul special al protecției datelor cu caracter personal, ținând seama îndeosebi de natura autonomă a problematicilor legate de prelucrarea lor care au necesitat o intervenție legislativă specifică, noțiunea de „domeniu de aplicare al dreptului Uniunii” depășește ipotezele de „punere în aplicare a dreptului Uniunii” în sensul articolului 51 din Carta drepturilor fundamentale a Uniunii Europene (denumită în continuare „carta”) ( 20 ). În sfârșit, „în multe domenii care țin de competența statelor membre, dreptul Uniunii nu rămâne lipsit de relevanță” ( 21 ). Acest lucru este valabil în special în cazul RGPD, al cărui domeniu de aplicare, transversal, este în mod necesar larg, având în vedere obiectivele sale, amintite la punctul 39 din prezentele concluzii.

51.

Astfel, chiar dacă activitatea „antidoping” nu este reglementată de un act de drept al Uniunii și ține de competența statelor membre, nu se poate deduce de aici că prelucrarea efectuată în cadrul acestei activități antidoping nu intră „sub incidența dreptului Uniunii”, în sensul articolului 2 alineatul (2) litera (a) din RGPD, astfel cum a fost interpretat de Curte în contextul specific al RGPD.

52.

De altfel, după Tratatul de la Lisabona, sportul este o competență de sprijinire care revine Uniunii ( 22 ). Articolul 165 alineatul (2) TFUE prevede astfel că „[a]cțiunea Uniunii urmărește […] să dezvolte dimensiunea europeană a sportului, prin promovarea spiritului de echitate și de deschidere în competițiile sportive și a cooperării între organizațiile cu responsabilități în domeniul sportului, precum și prin protejarea integrității fizice și morale a sportivilor, îndeosebi a celor mai tineri dintre aceștia”. Acești termeni se referă în special la politicile antidoping. Desigur, o asemenea competență de sprijinire nu conferă Uniunii nicio putere de a legifera în domeniul sportului. Totuși, chiar dacă activitatea Uniunii nu este normativă, ea există și permite acesteia să adopte acte juridice cu scopul de a sprijini, de a coordona sau de a completa acțiunea statelor membre, în conformitate cu articolul 6 TFUE ( 23 ). În consecință, caracterul „sportiv” al dispozițiilor antidoping nu permite să se considere că punerea lor în aplicare constituie o activitate care nu ar intra sub incidența dreptului Uniunii în sensul articolului 2 alineatul (2) litera (a) din RGPD.

–

… și în pofida „lipsei” caracterului său economic

53.

În al doilea rând, NADA susține că practicarea sportului intră sub incidența dreptului Uniunii doar în măsura în care constituie o activitate economică. Normele antidoping în cauză s‑ar întemeia, la rândul lor, pe considerații pur sportive, astfel încât prelucrarea datelor aflate în discuție în speță nu ar constitui o chestiune care ține de activitatea economică și nu ar intra, așadar, sub incidența dreptului Uniunii.

54.

Nici acest argument, întemeiat pe o presupusă „separabilitate” a dispozițiilor antidoping, nu ne convinge.

55.

Într‑adevăr, afirmația potrivit căreia „exercitarea sporturilor intră sub incidența dreptului comunitar doar în măsura în care constituie o activitate economică în sensul articolului 2 din Tratatul [CE]” ne conduce la Hotărârea din 12 decembrie 1974, Walrave și Koch ( 24 ). Or, de atunci, Uniunea și‑a exercitat competența în materie de protecție a datelor în temeiul articolului 16 TFUE. Astfel, statele membre au intenționat să aplice dreptul Uniunii privind protecția datelor cu caracter personal inclusiv în domenii care nu sunt de natură economică, după cum atestă deopotrivă textul, contextul și obiectivele RGPD.

56.

Mai întâi, textul articolului 2 alineatul (2) litera (a) din RGPD stabilește domeniul de aplicare material al acestui regulament utilizând noțiunea de „activitate”, iar nu de „activitate economică” care intră sau nu sub incidența dreptului Uniunii.

57.

Apoi, contextul RGPD și în special dispozițiile sale în domeniul transferurilor de date cu caracter personal către țări terțe sau organizații internaționale (capitolul V din RGPD) confirmă această abordare textuală. Astfel, deși nu sunt îndeplinite condițiile pentru ca un asemenea transfer să aibă loc, derogările prevăzute, în cazul unor situații specifice, la articolul 49 din RGPD pot autoriza însă un astfel de transfer. Or, considerentul (112) al RGPD menționează în mod expres că derogările pentru aceste situații specifice „ar trebui să se aplice, în special, transferurilor de date solicitate și necesare din considerente importante de interes public, de exemplu în cazul schimbului internațional de date […] pentru reducerea și/sau eliminarea dopajului în sport”. După cum a subliniat guvernul finlandez, considerentul respectiv indică faptul că legiuitorul Uniunii nu a considerat că prelucrarea datelor cu caracter personal în materie de control antidoping se afla în afara domeniului de aplicare al acestui regulament, deși aceasta privește o activitate care nu este de natură economică.

58.

În sfârșit, în opinia noastră, criteriul întemeiat pe legătura cu dreptul Uniunii printr‑o activitate economică nu este mai pertinent în raport cu obiectivele urmărite de RGPD. Astfel, un asemenea criteriu ar conduce la necesitatea de a stabili domeniul de aplicare al RGPD de la caz la caz, în funcție de aspectul dacă prelucrarea datelor în cauză ar prezenta sau nu o legătură cu dispoziții specifice ale dreptului Uniunii sau cu libertățile care guvernează piața internă. O astfel de abordare, variabilă în funcție de situațiile concrete în cauză, ar risca să facă limitele domeniului de aplicare al acestui regulament incerte și aleatorii ( 25 ), cu încălcarea obiectivelor esențiale ale acestuia, și anume asigurarea unei aplicări coerente și omogene a normelor de protecție în întreaga Uniune și înlăturarea obstacolelor din calea fluxurilor de date cu caracter personal în cadrul său.

59.

În rest, am adăuga că, cel puțin în cazul sportivilor profesioniști, nu se poate exclude o legătură între reglementarea antidoping și activitatea lor profesională și, așadar, o legătură economică îndeosebi cu libertatea de circulație și cu libera prestare a serviciilor ( 26 ). Astfel, sancțiunile aplicabile sunt de natură să determine consecințe economice deloc neglijabile ca urmare a suspendării lor, uneori pe viață. Dacă, pentru stabilirea domeniului de aplicare al RGPD, trebuie să se facă apel la existența unei asemenea legături economice, s‑ar ajunge la rezultatul puțin satisfăcător că RGPD ar putea, de exemplu, să se aplice sportivilor profesioniști, dar nu și sportivilor amatori ( 27 ). O asemenea diferență de tratament, în funcție de aspectul dacă activitatea este considerată ca fiind economică sau nu, este greu de conciliat cu RGPD și obiectivele sale de protecție în ceea ce privește datele cu caracter personal.

Concluzie cu privire la prima întrebare

60.

Având în vedere toate cele de mai sus, propunem Curții să răspundă la prima întrebare că articolul 16 alineatul (2) prima teză TFUE și articolul 2 alineatul (2) litera (a) din RGPD trebuie interpretate în sensul că prelucrările datelor cu caracter personal care constau, în temeiul dispozițiilor naționale antidoping, în publicarea numelui sportivilor vizați, a disciplinei sportive practicate, a încălcării dispozițiilor antidoping săvârșite, a sancțiunii aplicate, precum și a datei de început și de sfârșit a acestei sancțiuni nu pot fi considerate ca fiind efectuate în cadrul unei „activități care nu intră sub incidența dreptului Uniunii”, în sensul articolului 2 alineatul (2) litera (a) din RGPD.

Cu privire la a doua întrebare

61.

Prin intermediul celei de a doua întrebări, instanța de trimitere solicită să se stabilească dacă publicarea datelor cu caracter personal în cauză are ca obiect „date privind sănătatea” în sensul articolului 9 din RGPD.

Cu privire la interpretarea largă a noțiunii de „date privind sănătatea”

62.

Miza acestei întrebări rezidă în faptul că articolul 9 din RGPD prevede un regim juridic deosebit de protector pentru categoriile de date cu caracter personal așa‑numite „sensibile”, din care fac parte „datele privind sănătatea” (sau „datele despre sănătate”). Datele respective, considerate ca fiind în centrul intimității persoanelor, necesită ca atare un nivel ridicat de protecție, atât datorită protecției vieții private, secretului profesional, cât și datorită legislației referitoare la protecția datelor cu caracter personal ( 28 ). Prin urmare, prelucrarea lor este interzisă de articolul 9 alineatul (1) din RGPD, cu excepția cazului în care se aplică una dintre derogările prevăzute la alineatul (2) al acestuia. Acest lucru este reflectat în considerentul (51) al RGPD, referitor la caracterul de date sensibile, potrivit căruia protecția specifică se explică „deoarece contextul prelucrării acestora ar putea genera riscuri considerabile la adresa drepturilor și libertăților fundamentale”. Potrivit considerentului (54) al RGPD, dacă ele fac obiectul unei prelucrări din motive de interes public, trebuie să se evite prelucrarea lor „în alte scopuri de către părți terțe, cum ar fi angajatorii sau societățile de asigurări și băncile” ( 29 ). De altfel, imperativul protecției datelor a crescut odată cu informatizarea structurilor de sănătate și cu dematerializarea suporturilor și a fluxurilor de date ( 30 ).

63.

Adăugăm că interzicerea prelucrării datelor de sănătate, prevăzută la articolul 9 alineatul (1) din RGPD, este independentă de aspectul dacă informația dezvăluită de prelucrarea de date este sau nu exactă și dacă operatorul acționează în scopul de a obține informații care se încadrează în una dintre categoriile speciale vizate de această dispoziție ( 31 ). Trebuie să se deducă de aici că obiectivul operatorului, în special faptul că prelucrarea este necesară în temeiul unei obligații legale sau de interes public, dacă constituie un element pertinent în contextul eventualei aplicări a uneia dintre cele zece derogări prevăzute la articolul 9 alineatul (2) din RGPD, nu este un element care trebuie să fie luat în considerare în stadiul calificării ca „date despre sănătate” ( 32 ).

64.

În conformitate cu articolul 4 punctul 15 din RGPD coroborat cu considerentul (35) al acestui regulament, astfel de date includ toate datele cu caracter personal legate de sănătatea fizică sau mentală a unei persoane fizice, care dezvăluie ( 33 ) informații despre starea sa de sănătate trecută, prezentă sau viitoare.

65.

Curtea a statuat deja că, având în vedere obiectivul RGPD, noțiunea de „date privind sănătatea” prevăzută la articolul 9 alineatul (1) din acest regulament trebuie interpretată în sens larg ( 34 ). În conformitate cu interpretarea contextuală și teleologică a articolului 4 punctul 15 și a articolului 9 din RGPD, pentru a putea fi calificate ca atare, este suficient ca datele în cauză să fie, chiar și în mod indirect, de natură să dezvăluie, printr‑o operațiune intelectuală de combinare sau de deducție, informații cu privire la starea de sănătate a persoanei vizate ( 35 ).

66.

În acest context, apreciem că s‑ar putea distinge în mod schematic două categorii de date de sănătate.

67.

Pe de o parte, datele generate în cadrul medical care, în opinia noastră, pot fi considerate date despre sănătate „prin natura lor” ( 36 ), „obiective” ( 37 ), care vizează, după cum se arată în considerentul (35) al RGPD, informații privind, de exemplu, o boală fizică sau mentală, un handicap, un risc de îmbolnăvire, istoricul medical, tratamentul clinic. De regulă, ele figurează în dosarul medical al persoanei vizate ( 38 ). În mod similar, datele care, deși nu au caracter medical, sunt colectate pentru a fi incluse în dosarul de sănătate, cum ar fi datele administrative destinate să fie incluse în dosarul respectiv, sunt avute în vedere ca atare de considerentul (35) al RGPD ca „date despre sănătate”. În acest sens, este vorba de date considerate ca fiind legate de sănătate și care dezvăluie informații despre starea de sănătate a persoanei vizate.

68.

În acest cadru, noțiunea de „risc de îmbolnăvire”, menționată în considerentul (35) al RGPD, are cu siguranță o anumită importanță. După cum reiese din lucrările Grupului de lucru instituit în temeiul articolului 29, este vorba aici inclusiv de date referitoare la starea de sănătate potențială viitoare a unei persoane vizate. Astfel, riscul viitor de îmbolnăvire „dovedit științific sau perceput în mod obișnuit” este luat în considerare și sunt menționate ca exemple consumul excesiv de alcool sau de tutun, precum și consumul de droguri ( 39 ).

69.

Pe de altă parte, în afara contextului medical, datele pot să privească sănătatea, în special dacă datele în cauză sunt de natură, chiar și indirect, să dezvăluie informații despre starea de sănătate fizică sau mentală trecută, prezentă sau viitoare a unei persoane fizice ( 40 ). Este „zona gri” ( 41 ) a noțiunii de „date despre sănătate”, care ridică problema punctului până la care legătura lor indirectă cu sănătatea poate conduce la calificarea ca atare a acestora. Elementul determinant în acest caz este aspectul dacă este posibil ca, pe baza datelor în cauză, să se tragă concluzii despre starea de sănătate a persoanei vizate, fără a conta dacă este vorba de o stare patologică sau fiziologică, independent de fiabilitatea concluziilor respective. În această privință, pot fi luate în considerare elemente care țin de context ( 42 ), precum și legătura dintre informația în cauză și posibilitatea de a se deduce din aceasta un aspect al sănătății unei persoane ( 43 ).

70.

De exemplu, Grupul de lucru instituit în temeiul articolului 29 a considerat ca fiind date despre sănătate informațiile privind apartenența unei persoane la grupuri care au un obiectiv legate de sănătate precum „Weight Watchers” sau „Alcoolicii anonimi” ( 44 ). În plus, datele brute rezultate în urma unei automăsurări (de exemplu, greutatea sau tensiunea arterială înregistrată de un tensiometru conectat) care nu ar constitui în sine date despre sănătate ar putea să permită, în combinație cu alte informații, să se tragă concluzii despre sănătatea persoanei vizate. Grupul de lucru instituit în temeiul articolului 29 precizează în această privință că trebuie efectuată o apreciere de la caz la caz: o aplicație care urmărește și stochează numărul de pași făcuți pe parcursul câtorva zile și șterge datele respective după o săptămână nu poate să prelucreze „date despre sănătate”. Însă se consideră că o aplicație care combină mai mulți ani de înregistrări cuantificate complete ale unei persoane (care urmărește, de exemplu, obiceiurile de somn și de exerciții fizice, înregistrări detaliate despre alimentație, greutate, indicele de masă corporală, tensiunea arterială și alte statistici vitale, precum și un jurnal al stării de spirit) prelucrează date privind sănătatea. În acest caz, nu doar concluziile și deducțiile, ci și datele brute vor fi considerate date despre sănătate ( 45 ).

Aplicarea în speță

71.

În litigiul principal, reglementarea în cauză prevede că, pe lângă menționarea numelui sportivilor respectivi și a duratei suspendării lor, sunt divulgate motivele acestei suspendări prin trimitere la categoria de încălcări constatate. Atunci când încălcarea se referă la o substanță sau la o metodă interzisă, aceasta este menționată și în comunicatul publicat pe site‑ul internet al ÖADR ( 46 ).

72.

Mai întâi, trebuie amintit că încălcările normelor antidoping care sunt divulgate publicului se împart în mai multe categorii ( 47 ).

73.

Considerăm, asemenea autorității austriece pentru protecția datelor, că numai încălcările prevăzute în categoriile 2.1 și 2.2 trebuie examinate în raport cu noțiunea de „date despre sănătate”. Astfel, celelalte încălcări vizează comportamente ilicite care nu ne par susceptibile ca atare să dezvăluie, chiar și indirect, informații privind starea de sănătate a persoanei respective. De exemplu, informația potrivit căreia un sportiv nu și‑a îndeplinit obligația de localizare (încălcare din categoria 2.4) sau a făcut trafic cu substanțe interzise (încălcare din categoria 2.7) nu dezvăluie nicio informație referitoare la starea sa de sănătate.

74.

În continuare, trebuie să se arate că constatarea încălcărilor din categoriile 2.1 și 2.2 implică testarea antidoping a sportivului vizat și analiza de eșantioane pentru a detecta în acestea substanțele și metodele interzise. Adăugăm că aceste analize sunt efectuate de profesioniști acreditați ( 48 ) și, așadar, într‑un context cvasimedical sau chiar medical. Prin urmare, constatarea unor astfel de încălcări ne trimite la noțiunea de „informații rezultate din testarea sau examinarea unei părți a corpului sau a unei substanțe corporale” în sensul considerentului (35) al RGPD. În consecință, asemenea informații ar putea fi considerate date despre sănătate prin natura lor.

75.

În această privință, desigur, testul este efectuat în vederea detectării substanțelor dopante luate pentru îmbunătățirea performanțelor sportive, iar prelucrarea care constă în divulgarea informațiilor în cauză urmărește un obiectiv punitiv în privința sportivului vizat și disuasiv. Totuși, să reamintim că obiectivul urmărit nu este pertinent din perspectiva calificării datelor în cauză ( 49 ).

76.

De asemenea argumentul potrivit căruia substanțele dopante nu sunt medicamente nu ne pare convingător. Astfel, pe de o parte, noțiunea de „date despre sănătate” nu include numai datele medicale cu scop terapeutic. De altfel, anumite medicamente sunt nocive pentru sănătate dacă sunt utilizate în mod necorespunzător. Pe de altă parte, combaterea dopajului urmărește desigur să promoveze echitatea și egalitatea între sportivi, dar ea constituie totodată o preocupare legată de sănătate ( 50 ). Or, multe substanțe sau metode sunt interzise în special din cauza efectelor lor nefaste asupra sănătății, chiar dacă aceste efecte sunt variabile în funcție de produs, cantitatea absorbită sau constituția persoanei vizate ( 51 ).

77.

Prin urmare, pentru calificarea datelor în cauză, independent de faptul că obiectivul urmărit de sportiv constă în îmbunătățirea performanței sale, nu se poate face abstracție, în opinia noastră, de efectele absorbției unei substanțe interzise asupra sănătății acestui sportiv, indiferent dacă aceste efecte sunt prezente sau viitoare.

78.

În sfârșit, considerăm că publicarea online de către ÖADR a denumirii substanței interzise detectate în organism este de natură să informeze publicul cu privire la riscurile pe care absorbția sa le poate genera pentru sănătatea sportivului în cauză.

79.

Desigur, simpla menționare a denumirii substanței interzise prezente în organism ar putea fi considerată insuficientă în sine pentru a dezvălui informații referitoare la starea de sănătate, chiar și viitoare, a sportivului vizat. În această privință, conținutul în sine al informațiilor ar putea fi considerat prea succint, iar legătura cu starea de sănătate, prea indirectă sau chiar prea ipotetică pentru a constitui „date despre sănătate” în sensul RGPD. Totuși, nu se poate exclude posibilitatea ca, atunci când sunt combinate cu alte elemente, aceste informații să fie, chiar și indirect, de natură să dezvăluie, printr‑o operațiune intelectuală de aproximare sau de deducție, informații privind starea de sănătate chiar și viitoare a persoanei vizate.

80.

Prin urmare, considerăm că menționarea denumirii substanței în cauză (sau a categoriei sale) oferă indicii care, chiar dacă nu sunt foarte detaliate, sunt de natură să informeze, chiar dacă în mod indirect, despre starea de sănătate a persoanei respective. În contextul specific al RGPD, asemenea mențiuni constituie, în anumite împrejurări a căror verificare este de competența instanței de trimitere, „date privind sănătatea” în sensul articolului 4 punctul 15 și al articolului 9 alineatul (1) din RGPD coroborate cu considerentul (35) al acestui regulament.

81.

În schimb, apreciem că situația ar fi diferită dacă substanța interzisă în cauză (sau categoria sa) nu ar fi menționată. Într‑adevăr, în acest caz, ar fi imposibil să se facă legătura între constatarea unei încălcări ca urmare a prezenței unei substanțe interzise în organism, pe de o parte, și informațiile despre starea de sănătate a persoanei vizate, pe de altă parte, chiar și printr‑o „operațiune intelectuală de aproximare sau de deducere”. În opinia noastră, această legătură ar fi prea indirectă pentru ca informația divulgată să poată intra în categoria „datelor privind sănătatea” din RGPD.

Concluzie cu privire la a doua întrebare

82.

Prin urmare, propunem Curții să statueze că articolul 9 alineatul (1) din RGPD trebuie interpretat în sensul că nu constituie o prelucrare de date privind sănătatea, în sensul acestei dispoziții, faptul de a divulga numele sportivului în cauză, durata suspendării sale și motivele suspendării respective, cu excepția cazului în care aceste motive includ denumirea substanței sau a substanțelor interzise a căror prezență a fost detectată în organismul sportivului în cauză, din moment ce indiciul menționat este de natură să dezvăluie, chiar și indirect, informații despre starea de sănătate, chiar și viitoare, a sportivului vizat, aspect a cărui verificare este de competența instanței de trimitere.

Cu privire la a cincea întrebare

83.

Instanța de trimitere solicită în esență să se stabilească dacă publicarea în cauză constituie o prelucrare de date cu caracter personal referitoare la condamnări penale și infracțiuni în sensul articolului 10 din RGPD. Ea precizează în această privință că sancțiunile din litigiul principal cuprind retragerea titlurilor și restituirea premiilor, precum și o interdicție multianuală sau pe viață de a participa la orice competiții (naționale și internaționale). De asemenea aceasta arată că, potrivit articolului 24 alineatul (4) din ADBG, organizațiile sportive nu pot „recurge la” persoane cărora li s‑a impus o suspendare în conformitate cu legislația antidoping și, prin urmare, nici să le încadreze în muncă în schimbul unei remunerații.

84.

Înainte de a analiza natura sancțiunilor și a încălcării dispozițiilor antidoping în discuție, vom aminti miza unei calificări penale în contextul articolului 10 din RGPD.

Miza naturii „penale” a sancțiunilor și a încălcărilor în sensul articolului 10 din RGPD

85.

Trebuie amintit că legiuitorul Uniunii nu interzice prelucrarea datelor cu caracter personal referitoare la condamnări penale și infracțiuni, ci o supune unui control sporit, în măsura în care poate avea un impact semnificativ asupra vieții persoanelor vizate, în special în materie de atingere adusă reputației sau de discriminare în alte domenii. O asemenea prelucrare poate avea loc numai „sub controlul unei autorități de stat” sau dacă legislația care autorizează această prelucrare de date prevede „garanții adecvate pentru drepturile și libertățile persoanelor vizate” ( 52 ). Articolul 10 din RGPD rezervă această protecție sporită exclusiv domeniului penal, în condițiile în care termenul „penale” vizează atât „condamnările”, cât și „infracțiunile” ( 53 ).

86.

Este astfel susceptibilă să intre sub incidența articolului 10 din RGPD ținerea de registre ale condamnărilor penale și ale infracțiunilor de către organisme private ( 54 ), de exemplu în cadrul combaterii spălării banilor sau al activităților laboratoarelor criminalistice ( 55 ). Se poate menționa și exemplul prelucrării de date cu caracter personal de către organismele de închiriere de vehicule care identifică și indică un conducător auto care ar fi încălcat Codul rutier.

87.

Prin urmare, în speță, se ridică problema dacă acel „cazier sportiv”, publicat online de NADA și ÖADR, constituie un „registru” al condamnărilor penale și al infracțiunilor care intră în domeniul de aplicare al articolului 10 din RGPD și care implică, așadar, o protecție sporită.

Analiza naturii „penale” sau nepenale, în sensul articolului 10 din RGPD, a sancțiunilor și a încălcărilor reglementării antidoping

88.

Potrivit jurisprudenței Curții, noțiunea de „infracțiune”, decisivă pentru a determina aplicabilitatea articolului 10 din RGPD unor date cu caracter personal, necesită în întreaga Uniune o interpretare autonomă și uniformă care trebuie stabilită ținând cont de obiectivul urmărit de această dispoziție și de contextul în care aceasta se înscrie, fără să fie determinantă în această privință calificarea dată de statul membru în cauză încălcărilor respective, această calificare putând fi diferită de la o țară la alta.

89.

Cele trei „criterii Engel”, adoptate de Curte ( 56 ), și anume calificarea juridică a faptei ilicite în dreptul intern, natura însăși a faptei ilicite și gradul de severitate a sancțiunii pe care persoana în cauză riscă să o suporte, sunt astfel pertinente pentru a aprecia caracterul penal al unei fapte ilicite.

90.

Deși este de competența instanței de trimitere să aprecieze, în lumina acestor criterii, dacă sancțiunile și încălcările în discuție în litigiul principal prezintă o natură penală în sensul articolului 10 din RGPD, Curtea, pronunțându‑se asupra unei trimiteri preliminare, poate totuși oferi precizări destinate să orienteze această instanță în aprecierea pe care o va efectua ( 57 ).

91.

Prin urmare, vom examina pe baza acestor trei criterii încălcările și sancțiunile în cauză.

–

Calificarea juridică a încălcării în dreptul intern

92.

Din cererea de decizie preliminară reiese că, în dreptul austriac, ÖADR desfășoară proceduri disciplinare pentru federația sportivă competentă. De asemenea guvernul austriac a subliniat în cursul ședinței că reglementarea antidoping are un caracter sui generis în măsura în care încălcările acesteia sunt încălcări ale normelor federațiilor sportive în cauză, pe care sportivii se angajează să le respecte ( 58 ), iar nu încălcări ale legii.

93.

Prin urmare, calificarea încălcărilor reglementării antidoping în dreptul național nu merge în direcția unei calificări „penale” în sensul articolului 10 din RGPD.

94.

Cu toate acestea, sfera de aplicare a acestui prim criteriu Engel trebuie să fie relativizată, din moment ce chiar pentru faptele ilicite care nu sunt calificate drept „penale” în dreptul național un astfel de caracter poate totuși decurge din însăși natura faptei ilicite în discuție și din gradul de severitate a sancțiunilor pe care aceasta le poate antrena ( 59 ). Acest lucru este valabil în special în materia reglementării antidoping, dat fiind că sistemul suprastatal instituit face să intervină diferiți actori, internaționali și naționali ( 60 ), și că fiecare dintre statele membre au integrat CMA în diferite moduri în sistemele lor juridice. În consecință, punerea în aplicare a reglementării antidoping variază în mod necesar de la un stat la altul, în funcție de diferitele modele de organizații statale, chiar dacă se pare că, în majoritatea statelor membre, ONAD nu au competențe penale în această privință ( 61 ).

95.

Este necesar, așadar, să se examineze celelalte două criterii Engel.

–

Natura încălcării

96.

Acest al doilea criteriu impune să se verifice dacă sancțiunea care corespunde încălcării în discuție urmărește în special o finalitate represivă, fără ca simpla împrejurare că aceasta urmărește și o finalitate preventivă să fie de natură să îi înlăture calificarea de „sancțiune penală”. Astfel, este în însăși natura sancțiunilor penale ca acestea să aibă ca obiect atât reprimarea, cât și prevenirea comportamentelor ilicite. În schimb, o măsură care se limitează la a repara prejudiciul cauzat prin fapta ilicită vizată nu prezintă o natură penală ( 62 ).

97.

Din cererea de decizie preliminară reiese că două categorii de sancțiuni corespund încălcărilor reglementării antidoping.

98.

Pe de o parte, este vorba de retragerea titlurilor și restituirea premiilor, care constă în recuperarea câștigurilor pentru a le reatribui sportivilor care ar fi avut dreptul la ele dacă sportivul sancționat nu ar fi participat la competiție. O asemenea sancțiune pare a fi un răspuns la încălcarea „regulii jocului” („lex sportiva”) și se poate considera că urmărește în esență să restabilească loialitatea competițiilor ( 63 ), chiar dacă acest lucru nu diminuează deloc caracterul său punitiv pentru sportivul în cauză.

99.

Pe de altă parte, este vorba de suspendarea participării la competițiile sportive, care poate să fie de câteva luni sau de mai mulți ani sau chiar să ajungă, precum în cazul unuia dintre reclamanții din litigiul principal, până la interzicerea pe viață a participării la orice competiție. Desigur, această suspendare poate fi considerată o expresie a dorinței de a „scoate în afara legii” sportivul vinovat, pentru a‑l îndepărta sau pentru a‑l exclude din comunitatea sportivilor și, astfel, de a menține integritatea comunității respective. Totuși, ea este totodată destinată să sancționeze sportivul care a încălcat dispozițiile antidoping pe care s‑a angajat să le respecte, precum și să îi descurajeze pe ceilalți sportivi să facă același lucru.

100.

Prin urmare, scopul principal al acestor sancțiuni antidoping sau cel puțin al suspendării participării la competiții nu pare să fie repararea prejudiciului suferit de terți ca urmare a încălcării, ci mai degrabă sancționarea comportamentului sportivului vizat, ceea ce merge în direcția unei condamnări penale ( 64 ). În această privință, reglementarea antidoping, chiar dacă nu reprezintă un corpus de drept penal, are un caracter punitiv ( 65 ).

101.

Totuși, calificarea „penală” pe baza acestui al doilea criteriu Engel ar putea suscita ezitări în două privințe.

102.

O primă ezitare decurge din constatarea faptului că procedurile disciplinare au fost mai degrabă abordate din perspectiva aspectului civil al articolului 6 din CEDO de către Curtea de la Strasbourg ( 66 ), cu excepția cazului în care, de exemplu, este aplicată o pedeapsă privativă de libertate, iar sancțiunea prezintă un grad de severitate suficient de ridicat ( 67 ).

103.

În special, Curtea de la Strasbourg consideră că articolul 6 din CEDO este aplicabil în ceea ce privește aspectul său civil „litigiilor referitoare la retragerea dreptului de a exercita o profesie” ( 68 ), inclusiv în domeniul sportiv ( 69 ).

104.

Prin urmare, natura penală a unei interdicții de a exercita o profesie este departe de a fi de la sine înțeleasă.

105.

Totuși, considerăm că nu se poate deduce de aici, ipso facto și în mod absolut, că o sancțiune disciplinară care conduce la suspendarea participării la competițiile sportive nu ar putea să fie niciodată de natură penală.

106.

Într‑adevăr, o astfel de abordare pare a fi pur formală.

107.

În plus, trebuie amintit că cele două aspecte, civil și penal, ale articolului 6 din CEDO nu se exclud reciproc în mod necesar ( 70 ).

108.

În sfârșit, trebuie avut în vedere faptul că Curtea de la Strasbourg efectuează examinarea naturii penale sau civile a încălcării în cauză în funcție de plângerile formulate în fața sa și în scopul de a aprecia dacă garanțiile pentru un proces echitabil prevăzute la articolul 6 din CEDO se aplică sub aspectul lor civil [alineatul (1)] sau penal [alineatele (1)-(3)].

109.

În schimb, în contextul articolului 10 din RGPD, trebuie să se aprecieze dacă sancțiunea sau încălcarea este penală pentru a stabili dacă prelucrarea în cauză (în speță, publicarea) vizează o informație care merită o protecție sporită ce implică controlul unei autorități de stat. În plus, nimic nu se opune adoptării unei interpretări mai largi care să garanteze o protecție sporită drepturilor și libertăților în discuție ( 71 ). Prin urmare, în acest context al articolului 10 din RGPD revine instanței de trimitere să aprecieze dacă sunt sau nu îndeplinite criteriile Engel și, în special, al doilea criteriu referitor la natura încălcării.

110.

O a doua ezitare provine din faptul că încălcările și sancțiunile antidoping vizează doar un grup specific de persoane, și anume sportivii, la fel ca sancțiunile disciplinare care au în general drept scop asigurarea respectării de către membrii săi a unor norme de comportament specifice grupului în discuție ( 72 ). Astfel de dispoziții sunt destinate să protejeze onoarea și reputația profesiei și să mențină încrederea publicului în profesia respectivă ( 73 ).

111.

Desigur, o asemenea constatare ar permite calificarea încălcării ca „disciplinară” în sensul că aceasta poate fi săvârșită de un anumit număr de persoane vizate de un ansamblu de norme specifice. Prin aceasta, prezenta cauză se distinge de cauza în care s‑a pronunțat Hotărârea Latvijas Republikas Saeima și în care atribuirea punctelor de penalizare pentru încălcări ale normelor de circulație rutieră se întemeia pe un text cu aplicabilitate generală ( 74 ).

112.

Totuși, calificarea drept „infracțiune” în sensul articolului 10 din RGPD nu este exclusă. Astfel, dacă domeniul de aplicare mai restrâns, specific reglementărilor disciplinare, ar fi suficient pentru a împiedica calificarea ca „penală”, s‑ar ajunge și în acest caz la o abordare pur formală a noțiunii. O asemenea abordare este greu de conciliat cu jurisprudența, care impune în această privință să se verifice scopul punitiv sau preventiv al sancțiunii pentru a defini natura încălcării, în opoziție cu un obiectiv pur reparator.

113.

Or, în speță, după cum s‑a arătat mai sus ( 75 ), sancțiunile antidoping nu au ca obiect repararea prejudiciilor cauzate eventual de încălcările respective (sau nu doar acest lucru, dacă se ia în considerare prejudiciul cauzat comunității sportivilor), ci urmăresc, dimpotrivă, un scop punitiv care este de natură să le confere o calificare drept condamnare „penală” în sensul interpretării acestui al doilea criteriu de către jurisprudență, independent de caracterul general sau nu al textului aplicabil. De altfel, subliniem că Curtea de Arbitraj Sportiv (Elveția), instituție internațională care oferă un arbitraj sau o mediere în lumea sportului, recunoaște ea însăși, atunci când este cazul, natura „cvasipenală” a sancțiunilor antidoping ( 76 ).

114.

În plus, anumite încălcări ale reglementării antidoping, cum ar fi, de exemplu, traficul de substanțe interzise, pot conduce la sancțiuni care intră atât sub incidența reglementării antidoping, cât și a legislației penale naționale. Desigur, Curtea de la Strasbourg a apreciat că faptul că anumite acte, care pot conduce la o sancțiune disciplinară, constituie totodată infracțiuni nu este suficient pentru a considera că o persoană responsabilă potrivit nomelor disciplinare este „acuzată” de săvârșirea unei infracțiuni ( 77 ). Totuși, în opinia noastră, acest lucru ar putea constitui un element care trebuie luat în considerare în cadrul celui de al doilea criteriu Engel.

115.

În consecință, în pofida rezervelor exprimate, apreciem în acest stadiu că nu se poate exclude posibilitatea ca, având în vedere natura lor punitivă sau preventivă, anumite încălcări ale dispozițiilor antidoping să fie considerate ca fiind de natură penală în sensul articolului 10 din RGPD.

–

Gradul de severitate a sancțiunii

116.

Acest al treilea criteriu Engel trebuie apreciat în funcție de pedeapsa maximă aplicabilă, prevăzută de dispozițiile relevante ( 78 ).

117.

Or, acest grad de severitate variază în funcție de încălcarea reglementării antidoping săvârșită. De exemplu, durata suspendării aplicabile variază în funcție de încălcările reglementării antidoping în cauză. În mod similar, recidiva și intenția autorului pot avea de asemenea o influență în această privință ( 79 ).

118.

Din cererea de decizie preliminară reiese că, în speță, poate fi vorba de „o interdicție multianuală sau pe viață de a participa la orice competiții (naționale și internaționale)”, ceea ce poate conduce, așadar, la o interdicție definitivă de exercitare a profesiei de sportiv.

119.

Cu siguranță, nu este vorba de o pedeapsă privativă de libertate. Totuși, acest lucru nu este decisiv, întrucât „faptul că miza este mică nu poate lipsi o infracțiune de caracterul său penal intrinsec” ( 80 ). Mai mult, în funcție de durata suspendării, cariera de sportiv profesionist a persoanei vizate poate să înceteze, în special având în vedere vârsta persoanei în cauză și aspectul că, îndeosebi în anumite sporturi, cariera este relativ scurtă.

120.

La această suspendare, care poate fi „pe viață”, se adaugă imposibilitatea practică de a găsi un loc de muncă în domeniul sportiv, ținând seama de interdicția privind asocierea cu o persoană suspendată pe toată durata suspendării sale.

121.

În sfârșit, la consecințele economice și financiare suportate de persoana vizată se adaugă dezaprobarea societății și o stigmatizare atât în sfera publică, cât și în cea privată.

122.

Rezultă de aici, în opinia noastră, că o asemenea sancțiune prezintă o gravitate susceptibilă să aibă efect echivalent unei condamnări penale în sensul articolului 10 din RGPD, dar revine instanței de trimitere să aprecieze acest aspect în fiecare caz în parte.

123.

Prin urmare, în opinia noastră, ar trebui să se considere, în principiu, că încălcările și sancțiunile antidoping țin de domeniul disciplinar, cu excepția cazurilor în care sancțiunea este de o asemenea severitate încât intră în domeniul penal. O astfel de apreciere, care nu poate fi repusă în discuție numai pe baza calificării din dreptul intern, este în concordanță, de altfel, cu obiectivul punitiv și preventiv al sancțiunii care conferă o natură penală încălcării săvârșite. În acest context, considerăm că o suspendare pe viață a participării la orice competiție ar putea, așadar, să constituie o sancțiune care are un efect echivalent unei sancțiuni penale, de natură să atragă aplicabilitatea articolului 10 din RGPD.

124.

În sfârșit, adăugăm că, în opinia noastră, argumentul NADA, care avertizează cu privire la consecințele pe care le‑ar implica, pentru toate colegiile profesionale, aplicarea articolului 10 din RGPD în cazul prelucrării de date referitoare la încălcări și sancțiuni disciplinare, nu este convingător. De fapt, nu este vorba aici de „incriminarea” în mod general și abstract a tuturor încălcărilor și sancțiunilor disciplinare. Analiza de mai sus a arătat că aprecierea trebuie efectuată în funcție de împrejurările fiecărui caz în parte și în vederea interpretării articolului 10 din RGPD care impune, în condițiile existenței unui „registru” de sancțiuni și încălcări care intră în domeniul său de aplicare, o protecție sporită. De altfel, temeiul juridic al prelucrării de date referitoare la asemenea încălcări și sancțiuni calificate drept „penale” poate consta de asemenea în legislația Uniunii sau a statelor membre, care prevede „garanții adecvate”.

Concluzie cu privire la a cincea întrebare

125.

Apreciem că trebuie să se răspundă la a cincea întrebare că articolul 10 din RGPD trebuie interpretat în sensul că se poate aplica prelucrării datelor cu caracter personal referitoare la sancțiuni sau încălcări prevăzute de reglementarea națională antidoping, din moment ce, independent de calificarea acestor încălcări în dreptul intern, condamnările pe care le implică urmăresc o finalitate punitivă și prezintă un grad de severitate atât de ridicat încât au efect echivalent unei sancțiuni penale, aspect a cărui verificare este de competența instanței de trimitere.

Cu privire la a șasea întrebare

126.

În cazul unui răspuns afirmativ la cea de a cincea întrebare, instanța de trimitere solicită să se stabilească dacă activitățile sau deciziile unei autorități care este însărcinată cu supravegherea prelucrării datelor cu caracter personal referitoare la condamnări penale și infracțiuni sau la măsuri de securitate conexe în sensul articolului 10 din RGPD sunt supuse controlului jurisdicțional.

127.

În primul rând, precizăm că autoritatea în cauză este „autoritatea de stat” în sensul articolului 10 din RGPD, care nu poate fi confundată cu „autoritate de supraveghere” în sensul articolului 51 din RGPD ( 81 ). Să amintim totodată că prelucrarea de date cu caracter personal referitoare la condamnări penale și infracțiuni se efectuează numai sub controlul unei autorități de stat sau atunci când prelucrarea este autorizată de dreptul Uniunii sau de dreptul intern care prevede garanții adecvate pentru drepturile și libertățile persoanelor vizate ( 82 ). Prin urmare, răspunsul la această întrebare trebuie corelat cu răspunsurile la a treia și la a patra întrebare preliminară, examinate în continuare ( 83 ).

128.

În al doilea rând, trebuie să se constate că RGPD nu conține o definiție a noțiunii de „autoritate de stat” sau de „control al unei autorități de stat” în sensul articolului 10 din acest regulament. În această privință, revine statelor membre să stabilească organismul care exercită controlul în calitate de „autoritate de stat” în cazul prelucrării de date cu caracter personal în sensul articolului 10 din RGPD. După cum arată Comisia, nu este exclus ca mai multe servicii să poată fi considerate ca atare și nu este vorba în mod necesar de „operator”.

129.

În al treilea rând, este adevărat că textul articolului 10 din RGPD nu prevede ca atare un control jurisdicțional al activităților sau al deciziilor acestei „autorități de stat”. Acestea fiind spuse, interpretarea contextuală a dispoziției respective pledează în favoarea unui astfel de control dacă persoanele vizate intenționează să își valorifice drepturile. Astfel, asemenea mai multor părți interesate, considerăm că controlul actelor în materie de prelucrare a datelor cu caracter personal, inclusiv atunci când acest control este urmarea unei decizii a unei autorități de stat în sensul articolului 10 din RGPD, trebuie să fie conform cu articolul 79 alineatul (1) din RGPD, chiar dacă instanța de trimitere nu face referire la acesta în întrebarea sa. În temeiul dispoziției respective, fără a aduce atingere vreunei căi de atac administrative sau nejudiciare, inclusiv dreptului de a depune o plângere la o autoritate de supraveghere în temeiul articolului 77 din acest regulament, fiecare persoană vizată are dreptul de a exercita o cale de atac judiciară eficientă în cazul în care consideră că drepturile de care beneficiază în temeiul regulamentului menționat au fost încălcate ca urmare a prelucrării datelor sale cu caracter personal fără a se respecta același regulament. De altfel, după cum subliniază guvernul finlandez, existența însăși a unui control jurisdicțional efectiv destinat să asigure respectarea dreptului Uniunii este inerentă unui stat de drept.

130.

În al patrulea rând, o asemenea interpretare este confirmată de obiectivul urmărit de articolul 10 din RGPD, și anume acela de a asigura o protecție sporită împotriva unor prelucrări care, din cauza caracterului deosebit de sensibil al datelor în discuție, sunt susceptibile să constituie o ingerință deosebit de gravă în drepturile fundamentale la respectarea vieții private și la protecția datelor cu caracter personal ( 84 ). O interpretare a articolului 10 din RGPD care ar exclude, a priori și în mod general, activitățile sau deciziile unei autorități de stat în sensul acestei dispoziții de orice control jurisdicțional ar contraveni scopurilor menționate.

131.

În aceste condiții și în lipsa unor precizări suplimentare cu privire la activitățile sau deciziile autorității de stat în cauză, apreciem că este necesar să se răspundă la a șasea întrebare că articolul 10 din RGPD, citit în lumina articolului 79 alineatul (1) din acest regulament, trebuie interpretat în sensul că activitățile sau deciziile unei autorități căreia i‑a fost încredințat, în temeiul acestei dispoziții, controlul prelucrării datelor cu caracter personal referitoare la condamnări penale și infracțiuni sau la măsuri de securitate conexe trebuie să poată face obiectul unui control jurisdicțional.

Cu privire la a treia și la a patra întrebare

132.

În cadrul acestor două întrebări, care pot fi examinate împreună, instanța de trimitere solicită în esență să se stabilească, în primul rând, dacă articolul 5 alineatul (1) literele (a) și (c) și articolul 6 alineatul (3) al doilea paragraf din RGPD pot fi interpretate în sensul că se opun unei obligații, impusă de legea națională organismelor naționale antidoping, de a publica datele cu caracter personal respective, și anume în special numele sportivilor sancționați pentru încălcarea reglementării antidoping, durata suspendării aplicate și motivele sale.

133.

În al doilea rând, ea ridică problema dacă RGPD impune ca înainte de publicare să se realizeze o evaluare comparativă de la caz la caz de către operator a intereselor existente sau dacă este suficient controlul proporționalității prevăzut de legiuitor.

Cu privire la proporționalitatea publicării în cauză

134.

Legiuitorul național a prevăzut, în cadrul ADBG, publicarea anumitor date (numele sportivului, durata și motivele suspendării), cu titlu gratuit ( 85 ), în atenția organizației federale a sportului, a organizațiilor sportive, a sportivilor, a altor persoane (personalul asistent), a organizatorilor de competiții, precum și a publicului larg, fără ca din acestea să poată fi deduse date despre sănătate. Se prevede totodată că publicarea informațiilor respective către publicul larg poate fi omisă numai în cazul în care persoana vizată este un sportiv amator, deosebit de vulnerabil (o persoană minoră) sau o persoană care, prin dezvăluirea de informații sau de alte indicii, a contribuit în mod substanțial la descoperirea unor încălcări potențiale ale reglementării antidoping. Dacă nu greșim, în acest caz, nici menționarea substanței eventual interzise în cauză, nici publicarea online pe internet nu sunt prevăzute în mod explicit de ADBG.

135.

În practică, NADA și ÖADR au pus în aplicare această reglementare prin intermediul unei publicări pe internet în cazul sportivilor profesioniști, cu menționarea substanței eventual interzise în cauză în ceea ce privește publicarea de către ÖADR.

–

Observații introductive și amintirea principiilor

136.

Să amintim că obiectivul urmărit de RGPD, astfel cum reiese din articolul 1, precum și din considerentele (1) și (10) ale acestuia, constă în special în asigurarea unui nivel ridicat de protecție a libertăților și drepturilor fundamentale ale persoanelor fizice, în special a dreptului lor la viață privată în ceea ce privește prelucrarea datelor cu caracter personal, consacrat la articolul 8 alineatul (1) din cartă și la articolul 16 alineatul (1) TFUE și strâns legat de dreptul la respectarea vieții private consacrat la articolul 7 din cartă.

137.

În această privință, drepturile fundamentale la respectarea vieții private și la protecția datelor cu caracter personal, garantate la articolele 7 și 8 din cartă, nu sunt prerogative absolute. Astfel, pot fi impuse restrângeri, cu condiția ca, în conformitate cu articolul 52 alineatul (1) din cartă, acestea să fie prevăzute de lege și să respecte substanța drepturilor fundamentale, precum și principiul proporționalității ( 86 ).

138.

În speță, publicarea datelor cu caracter personal ale sportivilor vizați este efectuată în temeiul unei obligații legale impuse operatorilor de legislația națională ( 87 ).

139.

Prin urmare, se poate considera că această prelucrare de date intră sub incidența ipotezei vizate la articolul 6 alineatul (1) litera (c) din RGPD, care prevede că este legală prelucrarea care este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului. Ținând seama de faptul că combaterea dopajului ar putea fi considerată drept îndeplinire a unei sarcini care servește unui interes public ( 88 ), prelucrarea în cauză poate intra și sub incidența ipotezei vizate la articolul 6 alineatul (1) litera (e) din RGPD. Totuși, nu este necesar să se decidă care dintre aceste condiții de legalitate este aplicabilă în speță sau dacă ambele se aplică ( 89 ).

140.

Articolul 6 alineatul (3) din RGPD precizează, în ceea ce privește aceste două ipoteze de legalitate a prelucrării, vizate la articolul 6 alineatul (1) literele (c) și (e) din RGPD, că prelucrarea menționată trebuie să se întemeieze pe dreptul Uniunii sau pe dreptul intern care se aplică operatorului și că acest temei juridic trebuie să urmărească un obiectiv de interes public și să fie proporțional cu obiectivul legitim urmărit.

141.

De asemenea orice prelucrare a datelor cu caracter personal trebuie să fie conformă printre altele cu principiile enunțate la articolul 5 alineatul (1) din RGPD și în special cu principiile legalității și „reducerii la minimum a datelor”, care figurează la literele (a) și, respectiv, (c) ale acestei dispoziții. Potrivit principiului reducerii la minimum, datele cu caracter personal trebuie să fie adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate, ceea ce constituie expresia principiului proporționalității ( 90 ).

142.

Prin urmare, întrebările adresate de instanța de trimitere implică necesitatea de a verifica dacă legislația națională, ca temei juridic al prelucrării în cauză, îndeplinește cerințele care decurg din aceste dispoziții, și anume dacă urmărește un obiectiv de interes public și este proporțională cu obiectivul legitim urmărit.

143.

În speță, în cadrul combaterii dopajului în sport, care este cu siguranță un obiectiv de interes public, se adoptă sancțiuni pentru încălcările normelor antidoping. La aceasta se adaugă divulgarea către publicul larg a datelor cu caracter personal în cauză, care urmărește două obiective, la fel de legitime, evocate în ședință de părțile interesate și de guvernul austriac. Pe de o parte, este vorba de descurajarea încălcărilor de către sportivi a normelor antidoping, prevenind astfel dopajul în sport. Pe de altă parte, este vorba de evitarea eludării normelor antidoping prin informarea tuturor persoanelor care pot să sponsorizeze sau să angajeze sportivul în cauză despre faptul că acesta este suspendat ( 91 ).

144.

Prin urmare, instanța de trimitere trebuie să verifice dacă reglementarea națională care prevede prelucrarea în cauză, astfel cum a fost pusă în aplicare de NADA și ÖADR, este adecvată pentru a contribui la realizarea obiectivelor de interes general pe care le urmărește, precum și necesară și proporțională în raport cu aceste obiective, Curtea fiind competentă să îi furnizeze elementele de interpretare utile.

–

Cu privire la aptitudinea publicării de a atinge obiectivele urmărite

145.

În opinia noastră, publicarea datelor în cauză poate fi considerată fără prea mari dificultăți ca fiind aptă pentru atingerea celor două obiective urmărite.

146.

Astfel, în primul rând, publicarea numelui sportivului sancționat, precum și a motivelor și a duratei suspendării sale informează publicul larg că dopajul nu rămâne nepedepsit și că acesta este însoțit nu doar de sancțiuni, ci și de publicarea nominală a sancțiunii suspendării. Acest lucru este de natură să determine publicul, inclusiv sportivii, profesioniști sau amatori, să se abțină de la încălcarea dispozițiilor antidoping și, prin urmare, urmărește un obiectiv de descurajare și de prevenire.

147.

În al doilea rând, publicarea suspendării respective permite de asemenea informarea persoanelor care ar putea dori să angajeze sportivul vizat în orice calitate în domeniul sportului despre faptul că acesta este suspendat și că nu ar trebui să desfășoare activități sportive. Adăugăm că asocierea cu un sportiv suspendat constituie totodată o încălcare a reglementării antidoping ( 92 ). Prin urmare, o asemenea publicare poate să contribuie la evitarea săvârșirii unor astfel de încălcări din neștiință.

148.

În schimb, nu vedem în ce mod menționarea substanței eventual interzise aflate în discuție, care nu este prevăzută în mod expres de legislația națională, dar este publicată de ÖADR, permite atingerea obiectivelor urmărite. Într‑adevăr, nici obiectivul de descurajare, nici cel de evitare a eludării dispozițiilor antidoping nu necesită să se detalieze atât de mult încălcarea constatată.

–

Cu privire la necesitatea publicării din perspectiva obiectivelor urmărite

149.

În conformitate cu considerentul (39) al RGPD, verificarea necesității prelucrării în cauză în raport cu obiectivele urmărite implică să se verifice dacă nu există măsuri alternative care să afecteze mai puțin dreptul la respectarea vieții private și dreptul la protecția datelor cu caracter personal garantate la articolele 7 și 8 din cartă, dar la fel de eficiente pentru atingerea obiectivului invocat ( 93 ).

150.

În primul rând, în ceea ce privește obiectivul de descurajare, considerăm că divulgarea către public a numelui sportivilor vizați nu este absolut necesară în toate cazurile.

151.

Desigur, descurajarea este cu atât mai eficace dacă, îndeosebi în cazul unui sportiv celebru, sancțiunile sunt însoțite de divulgarea numelui său. Sportivii de nivel înalt și care se bucură de o anumită notorietate au o responsabilitate deosebită în această privință, divulgarea numelui lor putându‑se dovedi, așadar, cu atât mai pertinentă din perspectiva obiectivului urmărit.

152.

Totuși, în cazul sportivilor profesioniști care nu intră sub incidența excepțiilor prevăzute de ADBG, legislația națională prevede o divulgare nominală automată, a cărei întindere devine nelimitată prin publicarea online ( 94 ), iar aceasta fără a ține seama de împrejurările concrete legate de situația individuală (notorietatea sportivului, nivelul competiției, recidiva, caracterul intenționat etc.). În această măsură, considerăm că, prin caracterul lor general, dispozițiile naționale respective pot depăși ceea ce este necesar pentru prevenirea dopajului prin descurajare.

153.

În al doilea rând, în ceea ce privește obiectivul de împiedicare a eludării interdicției de a se asocia cu o persoană suspendată, acesta presupune să se știe despre care sportiv este vorba. Prin urmare, acest lucru face necesară divulgarea numelui persoanei suspendate. În această privință, din cererea de decizie preliminară reiese că, potrivit articolului 1 alineatul (2) punctul 8 din ADBG, poate constitui o încălcare a reglementării antidoping faptul că un sportiv are contact cu un membru al personalului asistent vizat de o interdicție sau de o sancțiune.

154.

Cu toate acestea, considerăm că întinderea nelimitată a publicării, legată de publicarea online pe internet, depășește ceea ce este necesar ( 95 ).

155.

Astfel, acest obiectiv de evitare a eludării normelor respective pare în esență să existe în lumea sportivă ( 96 ) și să se adreseze persoanelor însărcinate cu aplicarea sancțiunilor sau responsabile de organisme sportive sau de asociații sportive. O diseminare mai restrânsă a identității sportivului în cauză ar părea, în acest context, să atingă obiectivul într‑un mod eficient și care afectează mai puțin protecția datelor cu caracter personal. De altfel, NADA a arătat în ședință că, pentru anumite categorii de sportivi de nivel inferior, informarea despre suspendare se poate face prin intermediul federațiilor.

156.

În ceea ce privește operatorii economici sau angajatorii din afara lumii sportive, o publicare mai limitată nu le‑ar permite, desigur, să afle că sportivul în cauză este suspendat și că le este interzis să se asocieze cu acesta. Totuși, în măsura în care unei asemenea persoane neinformate i se reproșează asocierea cu o persoană suspendată (un sportiv sau o altă persoană), considerăm că normele referitoare la sarcina probei ar permite, în acest caz, să se verifice dacă asocierea menționată a fost conștientă și intenționată sau nu ( 97 ). Invers, publicarea pe internet a suspendării, însoțită de numele persoanei suspendate în cauză, în opinia noastră ar conduce în final la punerea în sarcina fiecărei persoane a responsabilității de a verifica dacă persoana cu care încheie un contract sau se asociază este sau nu suspendată. Considerăm că această suspiciune generalizată, indusă de publicarea online a „cazierului sportiv”, depășește obiectivul urmărit.

157.

Adăugăm că alegerea unei publicări online de către NADA și ÖADR este de natură să aducă atingere și mai mult dreptului la viață privată, în special având în vedere întinderea sa urbi et orbi ( 98 ). Aceasta este și opinia Grupului de lucru instituit în temeiul articolului 29, care subliniază riscul utilizării în alte scopuri sau riscul prelucrării ulterioare a datelor publicate online, mai intruzive ( 99 ).

158.

Considerăm că o publicare nominală, dar limitată la organismele pertinente și la federațiile sportive, care să fie însoțită, de exemplu, de o publicare pe internet sub pseudonim, ar permite atingerea celor două obiective urmărite într‑un mod care afectează mai puțin protecția datelor cu caracter personal și mai conform cu principiul reducerii la minimum a datelor.

159.

Adăugăm că argumentul invocat de NADA, întemeiat pe comparația cu publicarea sancțiunilor în cadrul altor profesii, precum cea de avocat sau cele din domeniul sănătății, nu ne convinge. Astfel, după cum arată în această privință guvernul neerlandez, publicarea numelor avocaților sau medicilor suspendați pare necesară întrucât oricine poate fi un justițiabil sau un pacient, în timp ce, în materie de dopaj, este suficient ca numele sportivului vizat să fie cunoscut în mediul sportiv, de federațiile sportive respective, cu excepția unor ipoteze particulare care trebuie apreciate de la caz la caz.

160.

În consecință, avem îndoieli serioase în legătură cu necesitatea prelucrării în cauză în raport cu obiectivele urmărite.

–

Cu privire la proporționalitatea „stricto sensu”, și anume evaluarea comparativă a intereselor existente

161.

Pentru a aprecia proporționalitatea prelucrării în discuție, trebuie să se efectueze o evaluare comparativă a diferitelor drepturi, libertăți sau interese aflate în joc. Astfel, un obiectiv de interes general nu poate fi urmărit fără a ține seama de faptul că trebuie conciliat cu drepturile fundamentale avute în vedere, ceea ce implică, în speță, realizarea unei ponderări echilibrate între, pe de o parte, obiectivul de interes general urmărit și, pe de altă parte, drepturile persoanei ale cărei date cu caracter personal sunt divulgate ( 100 ).

162.

Adăugăm că, în cadrul acestei analize, trebuie să se țină seama de răspunsurile care vor fi date de către Curte la a doua întrebare preliminară privind existența unor date despre sănătate în sensul articolului 9 din RGPD și la a cincea întrebare preliminară privind datele referitoare la condamnări penale sau infracțiuni, care intră sub incidența articolului 10 din RGPD. Într‑adevăr, respectarea principiului „reducerii la minimum” a datelor sensibile în sensul articolului 9 din RGPD nu se opune comunicării către public a datelor cu caracter personal atunci când această comunicare este necesară și proporțională ( 101 ). Același lucru este valabil în situația în care datele în cauză intră sub incidența articolului 10 din RGPD, cu condiția ca legislația care autorizează comunicarea respectivă să prevadă garanții corespunzătoare pentru drepturile și libertățile persoanelor vizate ( 102 ). Acestea fiind spuse, în ceea ce privește datele care intră sub incidența acestor două dispoziții, interesele persoanelor vizate dobândesc o importanță deosebită în contextul realizării unei evaluări comparative a intereselor existente ( 103 ).

163.

În speță, prelucrarea în discuție, care include publicarea online a identității sportivului vizat, constituie o ingerință importantă în drepturile fundamentale la respectarea vieții private și la protecția datelor cu caracter personal și este de natură să provoace dezaprobarea societății și să determine stigmatizarea persoanei respective. De altfel, acesta este efectul de „stâlp electronic al infamiei” urmărit în cazul de față.

164.

Astfel, gravitatea ingerinței menționate trebuie pusă în balanță cu importanța obiectivelor urmărite prin publicare.

165.

Observăm că întrebarea instanței de trimitere se referă la publicarea prevăzută de ADBG, astfel cum a fost pusă în aplicare de NADA și ÖADR, pentru sportivii profesioniști care nu intră sub incidența excepțiilor prevăzute (care privesc sportivii amatori, persoanele vulnerabile și „avertizorii”). Publicarea în privința lor constă într‑o publicare nominală, care este în același timp nelimitată ca întindere, întrucât este difuzată prin internet către publicul larg, nelimitată uneori ca durată în cazul suspendării pe viață (care îl privește pe unul dintre reclamanții din litigiul principal), sistematică și automată, care nu implică, potrivit ADBG, nicio apreciere individuală în funcție de împrejurări.

166.

Cu toată prudența pe care o impune întotdeauna această dimensiune a controlului proporționalității ( 104 ), tindem să considerăm că combinarea acestor diferite elemente (caracterul nominativ, nelimitat, sistematic și automat al publicării) poate conduce, în anumite împrejurări, la o ingerință în dreptul la protecția datelor cu caracter personal al persoanelor în cauză, astfel încât nu îndeplinește cerința realizării unui just echilibru între diferitele interese existente.

167.

De exemplu, în cazul unei sancțiuni de suspendare de lungă durată ( 105 ) sau chiar pe viață a unui sportiv puțin cunoscut, a cărui viață sportivă profesională s‑a încheiat cu ceva timp în urmă, s‑ar putea considera că publicarea legală a datelor sale cu caracter personal devine, în timp, excesivă în raport cu scopurile urmărite.

168.

NADA susține că nu trebuie să se facă nicio diferențiere în funcție de gravitatea sau de caracterul repetat al încălcărilor săvârșite, pentru motivul că acest lucru este luat în considerare în etapa sancționării și nu afectează publicarea, care trebuie să aibă loc independent de împrejurări. Acest argument nu ne convinge. Astfel, publicarea servește unor obiective care, deși se înscriu în cadrul luptei antidoping, sunt specifice și implică o evaluare comparativă a intereselor existente care să permită luarea în considerare a cerințelor RGPD, neavute în vedere în etapa sancțiunii antidoping.

169.

Prin urmare, în opinia noastră, o obligație de publicare a datelor cu caracter personal, precum cea care rezultă din ADBG și pusă în aplicare de ÖADR și NADA, este admisibilă doar în măsura în care, având în vedere obiectivele urmărite de descurajare și de evitare a eludării normelor antidoping, rămâne proporțională, în special în materie de întindere și de durată a publicării, ținând seama de împrejurările specifice în cauză, aspect a cărui verificare este de competența instanței de trimitere.

Cu privire la momentul evaluării comparative

170.

Instanța de trimitere solicită să se stabilească dacă RGPD impune ca, înainte de publicare, operatorul să efectueze o evaluare comparativă de la caz la caz a intereselor existente sau dacă este suficient controlul de proporționalitate prevăzut de legiuitor.

171.

În speță, legiuitorul a avut în vedere situații predefinite independent de împrejurările specifice fiecărui caz în parte, făcând referire la elementele publicării și prevăzând totuși anumite excepții. Procedând astfel, acesta a stabilit deja un cadru pentru publicare și a efectuat o anumită evaluare comparativă a interesului sportivilor ale căror date cu caracter personal sunt divulgate, pe de o parte, și a intereselor legate de lupta antidoping, pe de altă parte.

172.

Totuși, observăm că, în calitate de operatori desemnați de legiuitorul național, organismele naționale antidoping în cauză (în speță, NADA și ÖADR) rămân, în temeiul articolului 5 alineatul (2) din RGPD, însărcinate cu punerea în aplicare a prelucrării și responsabile („accountable”) de respectarea principiilor legalității și proporționalității acestei prelucrări, precum și de respectarea principiului reducerii la minimum a datelor. De altfel, ele trebuie să fie în măsură să demonstreze că alineatul (1) al acestei dispoziții este respectat.

173.

De asemenea, potrivit articolului 24 alineatul (1) și articolului 25 alineatul (1) din RGPD, acestea trebuie să pună în aplicare măsuri tehnice și organizatorice adecvate (cum ar fi pseudonimizarea), atât în momentul stabilirii mijloacelor de prelucrare, cât și în cel al prelucrării în sine. Aceste măsuri, care trebuie revizuite și actualizate dacă este necesar, sunt destinate să pună în aplicare în mod eficient principiile de protecție a datelor și să integreze garanțiile necesare în cadrul prelucrării, pentru a îndeplini cerințele RGPD și a proteja drepturile persoanelor vizate ( 106 ).

174.

De altfel, observăm că, în speță, chiar dacă legiuitorul a stabilit scopurile prelucrării, precum și, în parte, mijloacele acestei prelucrări, NADA și ÖADR sunt cele care, în calitate de operatori și organisme însărcinate cu punerea sa în practică, au optat pentru publicarea pe internet, ÖADR optând totodată pentru publicarea denumirii substanței eventual interzise în cauză.

175.

În acest context, considerăm că răspunsul la întrebarea adresată este legat de conținutul și de gradul de precizie a legii naționale aplicabile operatorului. În opinia noastră, faptul că legiuitorul național a prevăzut principiul publicării nu exonerează operatorul de responsabilitatea sa de a respecta cerințele RGPD și de a proteja drepturile persoanelor vizate. Acest lucru poate implica din partea sa, în contextul aplicării legislației naționale, luarea în considerare a împrejurărilor specifice fiecărui caz în parte ( 107 ). De altfel, observăm că în speță el trebuie să efectueze această evaluare comparativă de la caz la caz pentru publicările de date privind sportivii suspendați care intră sub incidența excepțiilor menționate în ADBG.

176.

Prin urmare, apreciem că dispozițiile sus‑menționate din RGPD, deși nu impun acest lucru în toate cazurile, pot implica efectuarea de către operator a unei evaluări comparative de la caz la caz a intereselor existente în special atunci când stabilește mijloacele de prelucrare, deci inclusiv înainte de publicare. În această privință, ar putea fi luate în considerare elemente care țin de natura, de întinderea, de contextul și de scopurile prelucrării, precum și de riscurile, al căror grad de probabilitate și gravitate poate varia, pentru drepturile și libertățile persoanelor menționate.

177.

Nici argumentul potrivit căruia o asemenea marjă de apreciere a operatorului riscă să conducă la o discriminare între sportivii care se află în situații comparabile, nici riscul de arbitrar, de abuz sau chiar de corupție, evocate în special de Comisie și de NADA, nu pot justifica renunțarea la o astfel de evaluare comparativă de la caz la caz, destinată să permită prelucrarea datelor cu caracter personal în concordanță cu RGPD. Astfel, o asemenea evaluare comparativă poate tocmai să evite discriminarea care ar putea rezulta din aplicarea unui tratament identic în cazul unor situații diferite.

178.

Rezultă, în opinia noastră, că articolele 5 și 6 din RGPD, citite în lumina tuturor obligațiilor și responsabilităților care revin operatorului, trebuie interpretate în sensul că nu se opun unei evaluări comparative de la caz la caz a intereselor existente, efectuată de către operator, înainte de această prelucrare de date sau chiar, în anumite împrejurări, în sensul că impun o astfel de evaluare comparativă dacă este necesară pentru prelucrarea datelor cu caracter personal în concordanță cu RGPD.

Concluzii cu privire la a treia și la a patra întrebare

179.

Având în vedere cele de mai sus, propunem Curții să răspundă la a treia întrebare că articolul 5 alineatul (1) literele (a) și (c) și articolul 6 alineatul (3) al doilea paragraf din RGPD trebuie interpretate în sensul că se opun unei obligații, impusă organismelor naționale antidoping, de a publica date cu caracter personal, precum numele sportivilor sancționați pentru încălcarea reglementării antidoping, durata suspendării aplicate și motivele sale (în special denumirea substanței interzise) atunci când, ținând seama de împrejurările specifice în cauză, cerința proporționalității nu este sau nu mai este îndeplinită, îndeosebi în materie de întindere și de durată a publicării, aspect a cărui verificare este de competența instanței de trimitere.

180.

În ceea ce privește a patra întrebare, propunem Curții să considere că articolele 5 și 6 din RGPD, citite în lumina tuturor obligațiilor și responsabilităților care revin operatorului, trebuie interpretate în sensul că impun ca acesta din urmă să efectueze, înainte de prelucrarea datelor, o evaluare comparativă de la caz la caz a intereselor existente dacă acest lucru este necesar pentru prelucrarea datelor cu caracter personal în concordanță cu RGPD.

Cu privire la a șaptea întrebare

181.

Pentru a înțelege a șaptea întrebare, trebuie amintit contextul în care este adresată. Reclamanta YT, chiar înainte ca datele sale cu caracter personal să fi fost publicate pe site‑urile internet ale NADA și ÖADR, a depus o plângere la autoritatea austriacă pentru protecția datelor în temeiul articolului 17 din RGPD care prevede dreptul la ștergerea datelor. Această din urmă autoritate a respins plângerea lui YT, întrucât datele în cauză nu erau încă publicate. Publicarea acestor date a intervenit ulterior în cursul exercitării căii de atac împotriva respingerii plângerii sale de către autoritatea austriacă pentru protecția datelor.

182.

Prin intermediul celei de a șaptea întrebări, instanța de trimitere solicită, în primul rând, să se stabilească dacă plângerea, depusă în temeiul articolului 77 din RGPD prin care se invocă o încălcare a dreptului la ștergerea datelor (articolul 17 din RGPD), este admisibilă în condițiile în care nu avusese încă loc prelucrarea datelor cu caracter personal ale persoanei vizate la momentul depunerii plângerii sale la autoritatea de supraveghere și al deciziei acesteia din urmă.

183.

În al doilea rând, ea ridică problema admisibilității unei astfel de plângeri a posteriori dacă la depunerea plângerii existau deja indicii concrete că prelucrarea datelor cu caracter personal de către operator era iminentă sau că urma să aibă loc în viitorul apropriat.

Este admisibilă plângerea adresată autorității de supraveghere înainte de prelucrarea datelor?

184.

Articolul 77 alineatul (1) din RGPD prevede că orice persoană vizată are dreptul de a depune o plângere la o autoritate de supraveghere „în cazul în care consideră că prelucrarea datelor cu caracter personal care o vizează încalcă prezentul regulament”.

185.

În conformitate cu o jurisprudență constantă a Curții, în vederea interpretării dispoziției respective, vom ține seama nu numai de termenii acesteia, ci și de contextul său și de obiectivele urmărite de reglementarea din care face parte ( 108 ).

186.

În primul rând, textul articolului 77 din RGPD nu impune un termen pentru depunerea unei plângeri privind prelucrarea datelor cu caracter personal. În cazurile în care prelucrarea a avut loc și este apoi contestată, cu cât plângerea este depusă mai devreme, cu atât controlul exercitat de către autoritate poate avea loc mai rapid și cu atât mai devreme se poate asigura protecția persoanei vizate ( 109 ). În schimb, textul articolului 77 alineatul (1) din RGPD nu prevede ipoteza în care prelucrarea nu a avut încă loc. Subliniem, în această privință, că dispoziția respectivă utilizează termenul „încalcă” la timpul prezent, ceea ce pare să implice că prelucrarea trebuie să fi avut deja loc, dar că ipoteza unei prelucrări viitoare nu este, ca atare, exclusă ( 110 ).

187.

În al doilea rând, ca elemente de context, este necesar să se menționeze atribuțiile și competențele autorităților de supraveghere. În această privință, în temeiul articolului 57 alineatul (1) litera (f) din RGPD, fiecare autoritate de supraveghere este obligată să trateze plângerile depuse de orice persoană vizată, să investigheze într‑o măsură adecvată obiectul plângerii și să informeze reclamantul cu privire la evoluția și rezultatul investigației, într‑un termen rezonabil. Autoritatea de supraveghere trebuie astfel să soluționeze o asemenea plângere „cu toată diligența necesară” ( 111 ).

188.

În plus, articolul 58 alineatul (1) din RGPD conferă fiecărei autorități de supraveghere competențe importante de investigare în vederea soluționării plângerilor depuse. Atunci când o asemenea autoritate constată, la finalul investigației sale, o încălcare a dispozițiilor acestui regulament, ea este obligată să reacționeze în mod corespunzător pentru a remedia insuficiența constatată. Astfel, articolul 58 alineatul (2) din RGPD enumeră diferitele măsuri corective care pot fi adoptate de autoritatea de supraveghere, aceasta dispunând în acest scop de o marjă de apreciere în ceea ce privește alegerea mijloacelor adecvate și necesare ( 112 ). Printre competențele autorității de supraveghere prevăzute la articolul 58 alineatul (2) litera (a) din RGPD, se numără faptul că poate „emite avertizări” în atenția unui operator cu privire la „posibilitatea” ca operațiunile „prevăzute” să încalce dispozițiile RGPD, ceea ce corespunde unei abordări care poate fi calificată drept „conservatorie” în legătură cu drepturile persoanei vizate ( 113 ).

189.

Toate aceste cerințe și competențe ale autorităților de supraveghere au ca scop consolidarea procedurii privind plângerile pentru a face din aceasta un mecanism adecvat pentru a proteja în mod eficient drepturile și interesele persoanelor vizate, și anume „o veritabilă cale de atac administrativă” ( 114 ).

190.

Să menționăm totodată, ca element de context, faptul că, după cum a subliniat Comisia, operatorul trebuie să îndeplinească anumite obligații și, în special, să informeze persoana vizată înainte de a efectua prelucrarea ( 115 ).

191.

Prin urmare, considerăm că o abordare conservatorie sau preventivă din partea autorităților de supraveghere în cadrul prelucrării plângerilor nu poate fi exclusă, a priori, în contextul RGPD.

192.

În al treilea rând, această interpretare este confirmată de obiectivele urmărite de regulamentul respectiv. Într‑adevăr, din considerentul (10) al acestuia reiese în special că el urmărește să asigure un nivel ridicat de protecție a persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal în cadrul Uniunii. În plus, potrivit considerentului (11) al regulamentului menționat, protecția efectivă a acestor date necesită consolidarea drepturilor persoanelor vizate.

193.

Or, restrângerea obligației care revine autorităților de supraveghere de a trata plângerile, în temeiul articolului 57 alineatul (1) litera (f) din RGPD, prin interpretarea articolului 77 alineatul (1) din acest regulament în sensul că exclude orice posibilitate de a depune plângere la o autoritate de supraveghere „în vederea unei prelucrări”, ar putea fi în contradicție cu obiectivele urmărite de regulamentul menționat, în special cu cel de a asigura un nivel ridicat de protecție a persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal în cadrul Uniunii.

194.

Prin urmare, având în vedere toate aceste considerații, apreciem că nu se poate exclude posibilitatea ca o plângere depusă în temeiul articolului 77 din RGPD să poată fi admisibilă, în pofida faptului că prelucrarea datelor cu caracter personal ale persoanei vizate nu a avut loc încă la momentul depunerii plângerii sale la autoritatea de supraveghere.

195.

Considerăm însă, asemenea Comisiei și guvernului austriac, că presupusa încălcare a RGPD trebuie să se preteze la aceasta, iar prelucrarea vizată, care este, în speță, publicarea datelor cu caracter personal, să nu aibă un caracter pur ipotetic ( 116 ).

196.

În speță, Curtea este sesizată cu o cerere, întemeiată pe articolul 17 din RGPD, care are ca obiect o plângere pentru ștergerea datelor în cauză, reclamanta din litigiul principal vizată (YT) precizând în această privință că publicarea datelor sale era „aproape sigur iminentă”.

197.

Or, o plângere prin care se solicită ștergerea acestor date (la fel ca o cerere de rectificare a datelor) presupune, prin ipoteză, ca prelucrarea în cauză, în speță publicarea datelor, să fi avut loc. Pare într‑adevăr imposibil ca operatorul să dea curs unei astfel de plângeri și să șteargă datele dacă ele nu au fost încă divulgate, cu excepția cazului în care se interpretează această plângere în sensul că urmărește în realitate să împiedice publicarea datelor menționate ( 117 ) (iar nu să le șteargă), aspect a cărui apreciere revine instanței de trimitere.

198.

Adăugăm că o asemenea interpretare nu contravine obiectivelor legate de garantarea unui nivel ridicat de protecție a datelor cu caracter personal, din moment ce alte dispoziții din RGPD permit să se răspundă la cererile privind o prelucrare viitoare. Astfel, după cum arată guvernul austriac, articolul 79 alineatul (1) din RGPD, referitor la dreptul la o cale de atac jurisdicțională efectivă, implică existența, în dreptul național, a unor acțiuni procedurale în cazul unei amenințări de atingere ilegală iminentă adusă drepturilor conferite de RGPD. În dreptul austriac, acest lucru include posibilitatea de a introduce acțiuni în încetare preventive înainte de începerea prelucrării sau chiar, în cazul în care a început prelucrarea, posibilitatea de a solicita autorității austriece să controleze restricționarea acestei prelucrări în temeiul articolului 18 din RGPD.

199.

În consecință, considerăm că nu se poate exclude posibilitatea ca o plângere depusă în temeiul articolului 77 din RGPD să fie admisibilă, în pofida faptului că prelucrarea datelor cu caracter personal ale persoanei vizate nu a avut încă loc la momentul depunerii plângerii sale la autoritatea de supraveghere, dar nu are un caracter pur ipotetic. Totuși, în împrejurările din litigiul principal, plângerea în discuție, întemeiată pe dreptul la ștergerea datelor prevăzut la articolul 17 din RGPD, nu este admisibilă din moment ce privește o prelucrare (în speță, publicarea datelor cu caracter personal ale persoanei vizate) care, chiar dacă era iminentă, nu exista nici la momentul depunerii plângerii acestei persoane în fața autorității de supraveghere, nici la momentul adoptării deciziei autorității de supraveghere respective.

Plângerea adresată autorității de supraveghere devine admisibilă „a posteriori”?

200.

Observăm că această întrebare privește interpretarea articolului 77 din RGPD, referitor la dreptul de a depune o plângere la autoritatea de supraveghere. Prin urmare, se pare că instanța de trimitere ridică problema dacă o astfel de plângere, declarată inadmisibilă, ar putea deveni admisibilă a posteriori în fața autorității de supraveghere dacă prelucrarea în cauză (în speță, divulgarea datelor) are loc în timp ce o cale de atac exercitată împotriva deciziei acestei autorități de supraveghere este pendinte în fața instanței de apel. Considerăm că, în această privință, revine ordinii juridice interne să regleze aspectul dacă instanța de apel ar putea sau chiar ar trebui, într‑o asemenea situație, să trimită întrebarea autorității de supraveghere spre reexaminare din perspectiva noilor elemente de fapt, dacă revine persoanei vizate sarcina să reintroducă o plângere sau dacă instanța de apel se poate pronunța ea însăși asupra situației cu care este sesizată ținând seama de noile elemente de fapt care constau în speță în publicarea datelor. Trebuie să se asigure în această privință protecția eficientă a drepturilor garantate de RGPD și aplicarea coerentă și omogenă a dispozițiilor sale.

201.

În măsura în care trebuie să înțelegem întrebarea instanței de trimitere, la fel ca guvernul austriac, în sensul că se referă la admisibilitatea unei astfel de plângeri în fața instanței sesizate cu apel, este vorba în acest caz de examinarea consecințelor efectelor legate de o modificare a situației de fapt, și anume a prelucrării care constă în publicarea datelor cu caracter personal, intervenită după decizia autorității de supraveghere și în condițiile în care o cale de atac jurisdicțională, exercitată în temeiul articolului 78 din RGPD, este pendinte împotriva acestei decizii, în ipoteza în care existau, la momentul plângerii, indicii concrete în sensul că o prelucrare de date cu caracter personal de către operator era iminentă sau urma să aibă loc în viitorul apropiat.

202.

Trebuie amintit că legiuitorul Uniunii a intervenit, în cadrul RGPD, pentru a oferi diferite căi de atac persoanelor care invocă o încălcare a acestui regulament, fiind de la sine înțeles că fiecare dintre căile de atac respective trebuie să poată fi exercitată „fără a aduce atingere” celorlalte căi de atac ( 118 ).

203.

Astfel, articolul 78 alineatul (1) din RGPD prevede că, fără a aduce atingere oricăror alte căi de atac administrative sau nejudiciare, fiecare persoană fizică sau juridică are dreptul de a exercita o cale de atac judiciară eficientă împotriva unei decizii obligatorii din punct de vedere juridic a unei autorități de supraveghere care o vizează. Rezultă că instanțele sesizate cu o cale de atac împotriva unei decizii a unei autorități de supraveghere ar trebui să dispună de o competență deplină, în special de cea de a examina toate aspectele de fapt și de drept referitoare la litigiul cu care sunt sesizate ( 119 ). Prin urmare, controlul jurisdicțional exercitat asupra unei decizii adoptate de o autoritate de supraveghere cu privire la o plângere, pentru a fi „eficient”, astfel cum impune această dispoziție, este complet ( 120 ). Articolul 79 alineatul (1) din acest regulament garantează fiecărei persoane vizate dreptul la o cale de atac judiciară eficientă, „fără a aduce atingere vreunei căi de atac administrative sau nejudiciare disponibile, inclusiv dreptului de a depune o plângere la o autoritate de supraveghere în temeiul articolului 77”.

204.

Desigur, s‑a constatat deja că, prin adoptarea RGPD, legiuitorul Uniunii nu a intenționat să realizeze o armonizare exhaustivă a căilor de atac disponibile în cazul încălcării dispozițiilor RGPD, prevăzute la articolele 77-79 din acest regulament ( 121 ). În special, atunci când sunt introduse o plângere la o autoritate de supraveghere și căi de atac jurisdicționale în cadrul aceluiași stat membru cu privire la aceeași prelucrare de date cu caracter personal, RGPD nu prevede dispoziții speciale.

205.

Totuși, deși nu a avut intenția de a realiza o armonizare exhaustivă în această privință, legiuitorul Uniunii nu a dorit nici să excludă posibilitatea menționată în întrebarea adresată de instanța de trimitere, și anume aceea de a declara admisibilitatea a posteriori a unei plângeri depuse în împrejurări precum cele din litigiul principal.

206.

Prin urmare, în lipsa unei reglementări a Uniunii în materie, revine fiecărui stat membru, în temeiul principiului autonomiei procedurale a statelor membre, atribuția de a stabili modalitățile procedurii administrative și pe cele ale procedurii jurisdicționale destinate să asigure un nivel ridicat de protecție a drepturilor conferite justițiabililor de dreptul Uniunii. În acest context, revine instanței naționale sarcina de a asigura efectivitatea protecției drepturilor garantate de RGPD, aplicarea coerentă și omogenă a dispozițiilor acestui din urmă regulament, precum și dreptul la o cale de atac efectivă în fața unei instanțe judecătorești, vizat la articolul 47 din cartă ( 122 ).

207.

Prin urmare, este de competența instanței naționale să stabilească, pe baza dispozițiilor procedurale naționale, modul în care căile de atac prevăzute de reglementarea națională trebuie să fie aplicate în fiecare caz în parte. În această privință, ea trebuie să se asigure că modalitățile concrete de exercitare a căilor de atac nu afectează în mod disproporționat dreptul la o cale de atac efectivă în fața unei instanțe judecătorești. De asemenea este necesar să se asigure efectivitatea protecției drepturilor garantate de RGPD și faptul că aceste modalități respectă principiile efectivității și echivalenței ( 123 ).

208.

În lipsa unei precizări din partea instanței de trimitere cu privire la posibilitățile oferite de dreptul său național, este necesar, prin urmare, în opinia noastră, să se constate că articolul 77 alineatul (1) din RGPD, examinat din perspectiva articolului 78 alineatul (1) din acest regulament, trebuie interpretat în sensul că nu se opune admisibilității unei plângeri respinse anterior ca inadmisibilă de către autoritatea de supraveghere, atunci când prelucrarea datelor are loc în timp ce o procedură judiciară referitoare la aceleași fapte este pendinte în fața instanței. Revine ordinii juridice interne să regleze, cu respectarea principiilor echivalenței și efectivității, condițiile unei astfel de admisibilități, atât în fața autorității de supraveghere, cât și în fața instanței, astfel încât să asigure efectivitatea protecției drepturilor garantate de RGPD, aplicarea coerentă și omogenă a dispozițiilor sale, precum și dreptul la o cale de atac efectivă în fața unei instanțe judecătorești.

Concluzie cu privire la a șaptea întrebare

209.

Ținând seama de ansamblul considerațiilor care precedă, propunem Curții să răspundă la a șaptea întrebare că articolul 77 din RGPD trebuie interpretat în sensul că o plângere întemeiată pe articolul 17 din acest regulament (invocarea unei încălcări a dreptului la ștergerea datelor) nu este admisibilă în măsura în care privește o prelucrare legată de publicarea datelor cu caracter personal ale persoanei vizate care, chiar dacă este iminentă, nu exista nici la momentul depunerii plângerii de către această persoană la autoritatea de supraveghere, nici la momentul adoptării deciziei acestei autorități, fără a aduce însă atingere eventualei admisibilități a unei plângeri care ar viza o prelucrare de date cu caracter personal care nu este pur ipotetică și care se pretează la o acțiune preventivă sau conservatorie a autorității de supraveghere.

210.

În plus, examinat în lumina articolului 78 alineatul (1) din RGPD, articolul 77 din acest regulament nu se opune admisibilității unei plângeri respinse anterior ca inadmisibilă de către autoritatea de supraveghere, atunci când prelucrarea de date are loc în timp ce o procedură judiciară referitoare la aceleași fapte este pendinte în fața instanței. Revine ordinii juridice interne să regleze, cu respectarea principiilor echivalenței și efectivității, condițiile unei astfel de admisibilități, atât în fața autorității de supraveghere, cât și în fața instanței, astfel încât să asigure efectivitatea protecției drepturilor garantate de RGPD, aplicarea coerentă și omogenă a dispozițiilor sale, precum și dreptul la o cale de atac efectivă în fața unei instanțe judecătorești.

Concluzie

211.

Având în vedere cele de mai sus, propunem Curții să răspundă la întrebările preliminare adresate de Bundesverwaltungsgericht (Tribunalul Administrativ Federal, Austria) după cum urmează:

–

o plângere întemeiată pe articolul 17 din acest regulament (invocarea unei încălcări a dreptului la ștergerea datelor) nu este admisibilă în măsura în care privește o prelucrare legată de publicarea datelor cu caracter personal ale persoanei vizate care, chiar dacă era iminentă, nu exista nici la momentul depunerii plângerii de către această persoană la autoritatea de supraveghere, nici la momentul adoptării deciziei acestei autorități, fără a aduce însă atingere eventualei admisibilități a unei plângeri care ar viza o prelucrare de date cu caracter personal care nu este pur ipotetică și care se pretează la o acțiune preventivă sau conservatorie a autorității de supraveghere;

–

examinat din perspectiva articolului 78 alineatul (1) din Regulamentul 2016/679, nu se opune admisibilității unei plângeri respinse anterior ca inadmisibilă de către autoritatea de supraveghere, atunci când prelucrarea datelor are loc în timp ce o procedură judiciară referitoare la aceleași fapte este pendinte în fața instanței. Revine ordinii juridice interne să regleze, cu respectarea principiilor echivalenței și efectivității, condițiile unei astfel de admisibilități, atât în fața autorității de supraveghere, cât și în fața instanței, astfel încât să asigure efectivitatea protecției drepturilor garantate de Regulamentul 2016/679, aplicarea coerentă și omogenă a dispozițiilor sale, precum și dreptul la o cale de atac efectivă în fața unei instanțe judecătorești.