Úvod

1.

Právna úprava v oblasti športu sa nachádza na pomedzí viacerých normatívnych prameňov práva. Svedčí o tom antidopingová úprava, ktorá je výsledkom spoločnej tvorby súkromnej a verejnej sféry. Predovšetkým Svetový antidopingový kódex (WADC), prijatý na základe štatútu Svetovej antidopingovej agentúry (WADA), je nástrojom súkromného práva, ktorý sa signatárske štáty zaviazali dodržiavať prostredníctvom Medzinárodného dohovoru OSN proti dopingu v športe ( 2 ). Táto právna úprava, ktorej cieľom je harmonizovať antidopingové politiky, pravidlá a predpisy športových organizácií a verejných orgánov na celom svete, tak vytvára skutočne osobitný nadnárodný odvetvový právny systém. ( 3 )

2.

Súdny dvor už rozhodoval o zlučiteľnosti športových predpisov s právom Únie, najmä z hľadiska slobodného poskytovania služieb alebo hospodárskej súťaže. ( 4 )

3.

Prejednávaná vec dáva Súdnemu dvoru príležitosť po prvýkrát ( 5 ) posúdiť niektoré aspekty antidopingovej úpravy z hľadiska požiadaviek spojených s ochranou osobných údajov. Ide totiž o zosúladenie na jednej strane požiadaviek etického športu, ktoré sa v prejednávanej veci prejavujú menovitým online zverejnením sankcií uložených športovcom v prípade porušenia antidopingových pravidiel, a na druhej strane ochrany osobných údajov uvedených športovcov vyplývajúcej z nariadenia (EÚ) 2016/679 ( 6 ) (ďalej len „GDPR“).

4.

V čase, keď prebieha revízia WADC ( 7 ), by pôsobnosť rozsudku, ktorý sa má prijať, mohla presahovať európske hranice.

Právny rámec

Právo Únie

5.

Článok 16 ZFEÚ ods. 1 stanovuje, že každý má právo na ochranu osobných údajov, ktoré sa ho týkajú. Článok 16 ods. 2 stanovuje, že „Európsky parlament a Rada v súlade s riadnym legislatívnym postupom ustanovia pravidlá, ktoré sa vzťahujú na ochranu fyzických osôb, pokiaľ ide o spracúvanie osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie, ako aj členskými štátmi pri výkone činností, ktoré patria do rozsahu pôsobnosti práva Únie, a pravidlá, ktoré sa vzťahujú na voľný pohyb takýchto údajov. Dodržiavanie týchto pravidiel podlieha kontrole nezávislých orgánov“.

6.

Článok 165 ZFEÚ ods. 2 stanovuje, že činnosť Únie sa zameriava na „rozvoj európskeho rozmeru v športe podporovaním spravodlivosti a otvorenosti pri športových súťažiach a spolupráce medzi subjektmi zodpovednými za šport, ako aj ochranou fyzickej a morálnej integrity športovcov, najmä mladých športovcov“. Na tento účel odsek 4 tohto článku stanovuje, že „Rada na návrh Komisie prijíma odporúčania“.

7.

Odôvodnenie 35 GDPR stanovuje, že „osobné údaje týkajúce sa zdravia by mali zahŕňať všetky údaje týkajúce sa zdravotného stavu dotknutej osoby, ktoré poskytujú informácie o minulom, súčasnom alebo budúcom fyzickom alebo duševnom zdravotnom stave dotknutej osoby. Zahŕňajú aj informácie o fyzickej osobe získané pri registrácii na účely poskytovania služieb zdravotnej starostlivosti danej fyzickej osobe; číslo, symbol alebo osobitný údaj, ktorý bol fyzickej osobe pridelený na individuálnu identifikáciu tejto fyzickej osoby na zdravotné účely; informácie získané na základe vykonania testov alebo prehliadok častí organizmu alebo telesných látok vrátane genetických údajov a biologických vzoriek; a akékoľvek informácie, napríklad o chorobe, zdravotnom postihnutí, riziku ochorenia, anamnéze, klinickej liečbe, alebo o fyziologickom alebo biomedicínskom stave dotknutej osoby bez ohľadu na zdroj týchto informácií, či už pochádzajú napríklad od lekára alebo iného zdravotníckeho pracovníka, z nemocnice, zo zdravotníckej pomôcky alebo z vykonania diagnostického testu in vitro“.

8.

Článok 2 GDPR s názvom „Vecná pôsobnosť“ v odseku 1 stanovuje, že „toto nariadenie sa vzťahuje na spracúvanie osobných údajov vykonávané úplne alebo čiastočne automatizovanými prostriedkami a na spracúvanie inými než automatizovanými prostriedkami v prípade osobných údajov, ktoré tvoria súčasť informačného systému alebo sú určené na to, aby tvorili súčasť informačného systému“.
Z článku 2 ods. 2 písm. a) GDPR vyplýva, že toto nariadenie sa nevzťahuje na spracúvanie osobných údajov „v rámci činnosti, ktorá nepatrí do pôsobnosti práva Únie“.

9.

Článok 4 GDPR s názvom „Vymedzenie pojmov“ v bode 15 stanovuje, že na účely tohto nariadenia „‚údaje týkajúce sa zdravia‘ sú osobné údaje týkajúce sa fyzického alebo duševného zdravia fyzickej osoby, vrátane údajov o poskytovaní služieb zdravotnej starostlivosti, ktorými sa odhaľujú informácie o jej zdravotnom stave“.

10.

Článok 5 uvedeného nariadenia, nazvaný „Zásady spracúvania osobných údajov“, stanovuje:

11.

Článok 6 toho istého nariadenia, nazvaný „Zákonnosť spracúvania“, uvádza:

12.

Článok 9 ods. 1 GDPR, nazvaný „Spracúvanie osobitných kategórií osobných údajov“, zakazuje okrem iného spracúvanie osobných údajov týkajúcich sa zdravia. Článok 9 ods. 2 písm. g) tohto nariadenia stanovuje, že odsek 1 sa neuplatňuje, ak je „spracúvanie… nevyhnutné z dôvodov významného verejného záujmu na základe práva Únie alebo práva členského štátu, ktoré sú primerané vzhľadom na sledovaný cieľ, rešpektujú podstatu práva na ochranu údajov a stanovujú vhodné a konkrétne opatrenia na zabezpečenie základných práv a záujmov dotknutej osoby“.

13.

Článok 10 GDPR s názvom „Spracúvanie osobných údajov týkajúcich sa uznania viny za trestné činy a priestupky [uznania za vinného zo spáchania trestných činov a priestupkov – neoficiálny preklad]“ stanovuje, že „spracúvanie osobných údajov týkajúcich sa uznania viny za trestné činy a priestupky [uznania za vinného zo spáchania trestných činov a priestupkov – neoficiálny preklad]… sa vykonáva len pod kontrolou orgánu verejnej moci, alebo ak je spracúvanie povolené právom Únie alebo právom členského štátu poskytujúcim primerané záruky ochrany práv a slobôd dotknutých osôb. Každý komplexný register uznania viny za trestné činy [uznania za vinného zo spáchania trestných činov a priestupkov – neoficiálny preklad] sa vedie iba pod kontrolou orgánu verejnej moci“.

14.

Článok 77 GDPR, nazvaný „Právo podať sťažnosť dozornému orgánu“, v odseku 1 stanovuje:

15.

Článok 78 GDPR, nazvaný „Právo na účinný súdny prostriedok nápravy voči rozhodnutiu dozorného orgánu“, v odseku 1 stanovuje:

Rakúske právo

16.

Ustanovenie § 5 ods. 5 Anti‑Doping‑Bundesgesetz 2021 (spolkový antidopingový zákon z roku 2021) z 23. decembra 2020 (BGBl. I, 152/2020) (ďalej len „ADBG“) stanovuje, že Nationale Anti‑Doping Agentur Austria GmbH (Nezávislá antidopingová agentúra, Rakúsko, ďalej len „NADA“) je verejnoprospešná spoločnosť s ručením obmedzeným, ktorá vykonáva funkciu nezávislého orgánu dopingovej kontroly a je zodpovedná za spracúvanie osobných údajov.

17.

Podľa § 5 ods. 6 bodu 4 ADBG NADA informuje Bundes‑Sportorganisation (Spolková organizácia športu, Rakúsko), športové organizácie, športovcov, iné osoby, ako aj organizátorov pretekov a bezplatne sprístupňuje širokej verejnosti určité informácie, konkrétne „zabezpečovacie opatrenia (napr. zákazy činnosti) a zákazy týkajúce sa športovcov a iných osôb, o ktorých bola upovedomená, a informácie o ich zrušení, s uvedením mien dotknutých osôb, dĺžky trvania zákazu a jeho dôvodov bez toho, aby z nich bolo možné vyvodiť určité kategórie osobných údajov dotknutých osôb, najmä údaje týkajúce sa zdravia. Tieto informácie môžu byť vynechané v prípade obzvlášť zraniteľných osôb a amatérskych športovcov…“.

18.

Ustanovenie § 6 ods. 2 ADBG okrem iného stanovuje, že NADA zabezpečuje bezpečnosť osobných údajov a osobitných kategórií osobných údajov v súlade s článkami 32 až 34 GDPR. Toto ustanovenie spresňuje, že „potreba spracovávať údaje vyplýva z účinného vykonávania antidopingových pravidiel [WADC] a ustanovení tohto spolkového zákona v rozsahu, v akom sa dotknuté osoby zmluvne zaviazali dodržiavať WADC“. Navyše „osobitné kategórie osobných údajov, najmä údaje týkajúce sa zdravia, sa môžu spracúvať len v rozsahu, v akom je to absolútne nevyhnutné na základe antidopingových ustanovení tohto spolkového zákona alebo WADC“.

19.

Österreichische Anti‑Doping Rechtskommission (Rakúska antidopingová právna komisia, ďalej len „ÖADR“) je verejná a nezávislá komisia vládnych orgánov, súkromných osôb a NADA, ktorá podľa § 7 ods. 1 ADBG má „viesť disciplinárne konania pre príslušný spolkový športový zväz v súlade s platnými antidopingovými pravidlami príslušného medzinárodného športového zväzu (antidopingové konanie)“.

20.

Podľa § 21 ods. 3 ADBG má ÖADR „do 20 dní od nadobudnutia právoplatnosti rozhodnutia informovať Bundes‑Sportorganisation [Spolková organizácia športu], športové organizácie, športovkyne a športovcov, iné osoby a usporiadateľov súťaží, ako aj verejnosť o uložených zabezpečovacích opatreniach (napr. zákazoch činnosti) a rozhodnutiach v antidopingových konaniach s uvedením mena dotknutej osoby, doby trvania zákazu činnosti a jeho dôvodov bez toho, aby bolo možné z toho vyvodiť údaje týkajúce sa zdravia dotknutej osoby. Od tohto informovania možno upustiť v prípade osobitne zraniteľných osôb, amatérskych športovcov a osôb, ktoré poskytnutím informácií alebo inými upozorneniami podstatne prispeli k odhaleniu potenciálnych porušení antidopingových pravidiel. Zverejnenie týkajúce sa amatérskych športovcov sa uskutočňuje z dôvodov verejného zdravia, ak sa zistilo porušenie antidopingových pravidiel podľa § 1 ods. 2 bodu 3, ako aj bodov 9 až 11“.

21.

Z § 23 ods. 14 ADBG v podstate vyplýva, že rovnaké povinnosti má Unabhängige Schiedskommission (Nezávislá rozhodcovská komisia, Rakúsko, ďalej len „USK“).

Spor vo veci samej, prejudiciálne otázky a konanie na Súdnom dvore

22.

V antidopingových konaniach boli vo veciach športovcov AR, YT, DI a RN (ďalej len „žalobcovia“) vydané rozhodnutia o zákaze činnosti (v závislosti od konkrétneho prípadu na určité obdobie alebo doživotne), ktoré prijali buď ÖADR, ktorá je príslušná viesť antidopingové konania, alebo USK, ktorá je príslušná preskúmať rozhodnutia ÖADR.

23.

Podľa rakúskej antidopingovej právnej úpravy zákazy činnosti, o ktorých rozhodli ÖADR alebo USK, NADA uverejňuje na svojom internetovom sídle. Počas trvania zákazu činnosti tento zoznam obsahuje meno a priezvisko dotknutého športovca, vykonávanú športovú disciplínu, porušenie antidopingových pravidiel, uloženú sankciu, ako aj začiatok a koniec obdobia, počas ktorého sa táto sankcia uplatňuje. ÖADR uverejňuje tie isté údaje, ako aj prípadnú zakázanú látku, a to prostredníctvom oznámenia na svojom vlastnom internetovom sídle.

24.

Žalobcovia 14. a 15. októbra 2021 požiadali ÖADR a NADA, aby ďalej neuvádzali ich mená a športové disciplíny. ÖADR a NADA týmto žiadostiam nevyhoveli.

25.

Dňa 22. októbra 2021 žalobcovia podali na Österreichische Datenschutzbehörde (Rakúsky úrad na ochranu osobných údajov, Rakúsko, ďalej len „rakúsky orgán na ochranu údajov“) sťažnosť podľa článku 77 ods. 1 GDPR, ktorou sa domáhali toho, aby bolo konštatované porušenie práva na vymazanie a obmedzenie údajov a aby bola ÖADR a NADA uložená povinnosť odstrániť ich mená a športy z uvedených internetových sídel. Tvrdili tiež, že ide o osobitnú kategóriu osobných údajov, ako aj o spracúvanie osobných údajov týkajúcich sa uznania za vinného zo spáchania trestných činov a priestupky v zmysle článkov 9 a 10 GDPR. Nediferencovaný režim zverejňovania stanovený v rakúskom práve je podľa nich nezlučiteľný s článkom 6 ods. 3 GDPR a nie je ani nevyhnutný, ani primeraný.

26.

Dňa 26. novembra 2021 rakúsky orgán na ochranu údajov túto sťažnosť zamietol ako nedôvodnú. Pokiaľ ide konkrétne o YT, jeho sťažnosť bola zamietnutá z dôvodu nedostatku záujmu na konaní z dôvodu, že jeho údaje ešte neboli zverejnené.

27.

Žalobcovia teda podali na Bundesverwaltungsgericht (Spolkový správny súd, Rakúsko), vnútroštátny súd, ktorý podal návrh na začatie prejudiciálneho konania, žalobu založenú na článku 78 ods. 1 GDPR. V tejto súvislosti NADA, žalovaná v prvom rade vo veci samej, uviedla, že zverejnenie osobných údajov na jej internetovom sídle je nevyhnutné na splnenie zákonnej povinnosti, ktorej podlieha, a na splnenie úlohy realizovanej vo verejnom záujme podľa článku 6 ods. 1 písm. c) a e) GDPR.

28.

Vnútroštátny súd prerušil konanie vo veci samej z toho dôvodu, že USK podala návrh na začatie prejudiciálneho konania vo veci NADA a i. ( 8 ). Po zamietnutí tohto návrhu z dôvodu neprípustnosti rozsudkom zo 7. mája 2024 ( 9 ) vnútroštátne konanie na vnútroštátnom súde pokračovalo.

29.

Za týchto podmienok Bundesverwaltungsgericht (Spolkový správny súd) rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:

30.

Písomné pripomienky predložili žalobcovia vo veci samej, NADA, rakúsky orgán na ochranu údajov, Komisia, ako aj rakúska, lotyšská, holandská, poľská a fínska vláda. Žalobcovia vo veci samej, NADA, Komisia, ako aj rakúska, lotyšská a fínska vláda tiež predniesli svoje ústne pripomienky na pojednávaní, ktoré sa konalo 13. mája 2025.

Analýza

31.

Po preskúmaní prvej prejudiciálnej otázky týkajúcej sa uplatniteľnosti GDPR preskúmam druhú, piatu a šiestu otázku, ktoré sa týkajú určitých konkrétnych údajov, a následne sa budem zaoberať otázkou týkajúcou sa zásady proporcionality (tretia a štvrtá prejudiciálna otázka). Napokon preskúmam siedmu otázku, ktorá má procesnú povahu.

O prvej otázke

32.

Svojou prvou otázkou sa vnútroštátny súd v podstate pýta, či vykonávanie antidopingových právnych predpisov predstavuje alebo nepredstavuje „činnosť“, ktorá patrí do pôsobnosti „práva Únie“ v zmysle článku 16 ods. 2 prvej vety ZFEÚ.

33.

Význam tejto odpovede je veľký, pretože v prípade zápornej odpovede sa GDPR na spor vo veci samej neuplatňuje. GDPR, prijaté na základe článku 16 ZFEÚ, totiž vo svojom článku 2 ods. 2 písm. a) vylučuje zo svojej pôsobnosti spracúvanie osobných údajov v rámci činnosti, „ktorá nepatrí do pôsobnosti práva Únie“.

34.

Na úvod by som chcel pripomenúť, hoci to vnútroštátny súd nespomína, že výnimka uvedená v článku 2 ods. 2 písm. d) GDPR stanovuje, že toto nariadenie sa nevzťahuje na spracúvanie osobných údajov vykonávané „príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania, alebo výkonu trestných sankcií…“. Dôvodom tejto výnimky je skutočnosť, že spracúvanie osobných údajov na takéto účely „príslušnými orgánmi“ sa riadi osobitným aktom Únie, konkrétne smernicou (EÚ) 2016/680 ( 10 ), ktorá bola prijatá v ten istý deň ako GDPR. V tomto štádiu nie je vylúčené, že vecné kritérium tejto výnimky môže byť v prejednávanej veci splnené. Otázka, či sa spracúvanie údajov, o ktoré ide v prejednávanej veci, vykonáva na účely uvedené v článku 2 ods. 2 písm. d) GDPR, totiž odkazuje na predmet piatej prejudiciálnej otázky (týkajúcej sa článku 10 GDPR), ktorá sa týka toho, či uznania za vinného a porušenia predpisov, ktoré sú predmetom predmetného spracúvania údajov, majú alebo nemajú trestnoprávnu povahu. Organické kritérium výnimky uvedenej v článku 2 ods. 2 písm. d) GDPR však nebolo nastolené: predstavujú NADA a ÖADR „príslušné orgány“ v zmysle článku 3 ods. 7 smernice 2016/680? V prípade zápornej odpovede sa uplatňuje GDPR, čo bude mojou pracovnou hypotézou pre ďalšiu analýzu. Naopak, v prípade kladnej odpovede a za predpokladu, že by bolo splnené aj vecné kritérium, by vznikla otázka uplatniteľnosti smernice 2016/680 namiesto GDPR, čo prináleží overiť vnútroštátnemu súdu.

35.

Po tejto poznámke uvádzam, že v prejednávanej veci je nesporné, že predmetné spracúvanie osobných údajov vykonávané rakúskymi antidopingovými orgánmi a spočívajúce v uverejnení mien dotknutých športovcov, športovej disciplíny, ktorej sa venovali, spáchaného porušenia antidopingových pravidiel, uloženej sankcie, ako aj začiatku a konca tejto sankcie, zodpovedá spracúvaniu, na ktoré sa vzťahuje GDPR podľa jeho článku 2 ods. 1, teda spracúvanie osobných údajov vykonávané úplne alebo čiastočne automatizovanými prostriedkami. ( 11 )

36.

Spornejšou otázkou je, či toto spracúvanie patrí do pôsobnosti výnimky stanovenej v článku 2 ods. 2 písm. a) GDPR.

37.

V rámci mojej analýzy najprv pripomeniem zásadu reštriktívneho výkladu výnimky stanovenej v článku 2 ods. 2 písm. a) GDPR a následne z nej vyvodím dôsledky týkajúce sa antidopingovej činnosti vo svetle tvrdení NADA.

O reštriktívnom výklade článku 2 ods. 2 písm. a) GDPR

38.

V súlade s ustálenou judikatúrou treba výnimku stanovenú v článku 2 ods. 2 písm. a) GDPR v rozsahu, v akom spôsobuje neuplatniteľnosť režimu ochrany osobných údajov stanoveného v GDPR, a teda sa odchyľuje od jeho cieľa ochrany, vykladať reštriktívne. ( 12 )

39.

Ako sa totiž v podstate uvádza v odôvodneniach 6 až 12 GDPR, rýchly technologický vývoj, globalizácia a rozsah získavania a zdieľania osobných údajov si vyžadujú silný a súdržný rámec ochrany údajov v Únii, ktorý zabezpečí vysokú úroveň ochrany práv a slobôd fyzických osôb pri spracúvaní týchto údajov, ktorý bude jednotný vo všetkých členských štátoch, a bude sa intenzívne presadzovať, čím sa vytvorí dôvera umožňujúca rozvoj digitálnej ekonomiky v rámci vnútorného trhu.

40.

Z tohto hľadiska je teda vecná pôsobnosť GDPR stanovená v jeho článku 2, nevyhnutne široká a výnimky, ktoré stanovuje, sa vykladajú reštriktívne. Súdny dvor tak už rozhodol, že jediným cieľom článku 2 ods. 2 písm. a) GDPR v spojení s jeho odôvodnením 16 je vylúčiť z jeho pôsobnosti spracúvanie osobných údajov vykonávané v rámci činnosti, ktorej cieľom je ochrana národnej bezpečnosti alebo činnosti, ktorú možno zaradiť do tej istej kategórie.

41.

Činnosti, ktorých cieľom je chrániť národnú bezpečnosť, zahŕňajú najmä činnosti, ktorých cieľom je chrániť základné funkcie štátu a základné záujmy spoločnosti. ( 13 )

42.

Na druhej strane z uplatňovania GDPR nie sú vyňaté osoby ako také, ale len niektoré činnosti, ktoré vykonávajú. ( 14 ) Samotná skutočnosť, že ide o činnosť štátu alebo orgánu verejnej moci, totiž nestačí na to, aby sa táto výnimka automaticky vzťahovala na túto činnosť. ( 15 ) Nestačí ani skutočnosť, že autor predmetného spracúvania vykonáva činnosti týkajúce sa národnej bezpečnosti, keďže jedine predmetná činnosť v rámci dotknutého spracúvania je relevantná. ( 16 ) V súvislosti s prenosom údajov na obchodné účely z členského štátu do tretej krajiny nestačí ani to, že dotknuté údaje môžu v priebehu tohto prenosu alebo po ňom byť spracúvané orgánmi dotknutej tretej krajiny na účely verejnej bezpečnosti, obrany a bezpečnosti štátu. ( 17 )

43.

V prejednávanej veci, ako zdôrazňuje rakúska vláda, § 1 ods. 1 ADBG stanovuje, že „doping je vzhľadom na to, že ovplyvňuje športové schopnosti, v rozpore so zásadou spravodlivosti v športovej súťaži, ako aj so skutočnou vnútornou hodnotou športu (športovým duchom), a navyše predstavuje riziko pre zdravie“.

44.

Preto nemožno tvrdiť, že zverejnenie osobných údajov zo strany NADA a ÖADR predstavuje spracúvanie údajov v rámci činnosti, v tomto prípade boja proti dopingu, ktorá sa týka národnej bezpečnosti alebo ktorá by mohla byť zaradená do tejto kategórie podľa článku 2 ods. 2 písm. a) GDPR.

45.

Z uvedeného treba vyvodiť záver, že výnimka založená na tomto ustanovení GDPR sa neuplatňuje na spracúvanie údajov, o ktoré ide v prejednávanej veci.

46.

Tvrdenia NADA založené jednak na skutočnosti, že antidopingová činnosť patrí do právomoci členských štátov, a jednak na tom, že táto činnosť nemá hospodársku povahu, nemôžu vyvrátiť toto konštatovanie, ako sa teraz pokúsim preukázať.

„Antidopingová“ činnosť nie je vyňatá z pôsobnosti GDPR

–

… aj keď je záležitosťou členských štátov

47.

Po prvé NADA tvrdí, že antidopingová politika je oblasťou, ktorá podľa rozdelenia právomocí stanoveného právom Únie zostáva v právomoci členských štátov, a to bez ohľadu na podpornú právomoc v oblasti športu stanovenú v článku 165 ZFEÚ.

48.

Skutočnosť, že k spracúvaniu osobných údajov dochádza v rámci činnosti, ktorá patrí do právomoci členských štátov, však nie je sama osebe relevantná na vylúčenie tohto spracúvania z pôsobnosti GDPR na základe jeho článku 2 ods. 2 písm. a), keďže nepatrí ani pod činnosť, ktorej cieľom je ochrana národnej bezpečnosti, ani pod činnosť, ktorú možno zaradiť do tej istej kategórie. ( 18 )

49.

Vylúčenie spracúvania vykonávaného v rámci určitej činnosti z pôsobnosti GDPR len z toho dôvodu, že táto činnosť patrí do právomoci členských štátov, by bolo podľa môjho názoru v rozpore tak so znením, ako aj s kontextom a cieľmi tohto nariadenia.

50.

Keď sa totiž v znení článku 2 ods. 2 písm. a) GDPR uvádza pojem „činnosť, ktorá nepatrí do pôsobnosti práva Únie“, neodkazuje na logiku právomocí, ale na vecnú logiku vymedzenia pôsobnosti normotvorcom v samotnom GDPR, ktorá sa zakladá na článku 16 ods. 2 ZFEÚ. Toto ustanovenie „zakladá a deleguje“ na Úniu legislatívnu právomoc v oblasti ochrany a voľného pohybu osobných údajov a na tento účel vymedzuje osobitnú pôsobnosť. ( 19 ) Okrem toho v osobitnom kontexte ochrany osobných údajov, najmä vzhľadom na autonómnu povahu otázok súvisiacich s ich spracúvaním, ktoré si vyžiadali vlastný a špecifický legislatívny zásah, pojem „pôsobnosť práva Únie“ presahuje prípady „vykonávania práva Únie“ v zmysle článku 51 Charty základných práv Európskej únie (ďalej len „Charta“). ( 20 ) Napokon „právo Únie má určitý vplyv v mnohých oblastiach, ktoré patria do právomoci členských štátov“ ( 21 ). Platí to najmä pre GDPR, ktorého prierezová pôsobnosť je nevyhnutne široká vzhľadom na jeho ciele pripomenuté v bode 39 vyššie.

51.

Aj keď teda „antidopingová“ činnosť nie je upravená aktom práva Únie a patrí do právomoci členských štátov, nemožno z toho vyvodiť, že spracúvanie vykonávané v rámci tejto antidopingovej činnosti nepatrí do „pôsobnosti práva Únie“ v zmysle článku 2 ods. 2 písm. a) GDPR, ako ho vykladá Súdny dvor v osobitnom kontexte GDPR.

52.

Okrem toho má Únie od Lisabonskej zmluvy podpornú právomoc v oblasti športu. ( 22 ) Článok 165 ods. 2 ZFEÚ tak stanovuje, že „činnosť Únie sa zameriava na… rozvoj európskeho rozmeru v športe podporovaním spravodlivosti a otvorenosti pri športových súťažiach a spolupráce medzi subjektmi zodpovednými za šport, ako aj ochranou fyzickej a morálnej integrity športovcov, najmä mladých športovcov“. Tieto pojmy odkazujú najmä na antidopingové politiky. Je pravda, že takáto podporná právomoc nepriznáva Únii žiadnu právomoc prijímať právne predpisy v oblasti športu. Hoci činnosť Únie nie je normatívna, existuje a umožňuje Únii prijímať právne akty na účely podpory, koordinácie alebo doplnenia činnosti členských štátov v súlade s článkom 6 ZFEÚ. ( 23 ) „Športová“ povaha antidopingových pravidiel preto neumožňuje domnievať sa, že ich vykonávanie predstavuje činnosť, ktorá nepatrí do pôsobnosti práva Únie v zmysle článku 2 ods. 2 písm. a) GDPR.

–

a napriek tomu, že „nemá“ hospodársku povahu

53.

Po druhé NADA tvrdí, že šport patrí do pôsobnosti práva Únie len v rozsahu, v akom predstavuje hospodársku činnosť. Pokiaľ ide o predmetné antidopingové pravidlá, tie sú sa zakladajú na čisto športových úvahách, takže spracúvanie údajov, o ktoré ide v prejednávanej veci, nie je otázkou hospodárskej činnosti, a teda nepatrí do pôsobnosti práva Únie.

54.

Ani toto tvrdenie, založené na údajnej „oddeliteľnosti“ antidopingových pravidiel, nepovažujem za presvedčivé.

55.

Tvrdenie, že „výkon športu spadá do pôsobnosti práva Spoločenstva iba v rozsahu, v akom predstavuje hospodársku činnosť v zmysle článku 2 Zmluvy [o ES]“, nás privádza k rozsudku z 12. decembra 1974, Walrave a Koch ( 24 ). Odvtedy však Únia začala vykonávať svoju právomoc v oblasti ochrany údajov na základe článku 16 ZFEÚ. Členské štáty tak zamýšľali uplatniť právo Únie v oblasti ochrany osobných údajov, a to aj v nehospodárskych oblastiach, o čom svedčí znenie, kontext a ciele GDPR.

56.

V prvom rade znenie článku 2 ods. 2 písm. a) GDPR určuje vecnú pôsobnosť tohto nariadenia odkazom na pojem „činnosť“ – nie „hospodárska činnosť“–, na ktorú sa vzťahuje alebo nevzťahuje právo Únie.

57.

Kontext GDPR, a najmä jeho ustanovenia týkajúce sa prenosu osobných údajov do tretích krajín alebo medzinárodným organizáciám (kapitola V GDPR), tento doslovný prístup potvrdzuje. Ak totiž nie sú splnené podmienky na uskutočnenie takéhoto prenosu, výnimky v prípade osobitných situácií stanovené v článku 49 GDPR môžu takýto prenos povoliť. Odôvodnenie 112 GDPR pritom výslovne uvádza, že výnimky pre tieto osobitné situácie „by sa mali uplatňovať predovšetkým na prenosy údajov, ktoré sa požadujú a sú potrebné zo závažných dôvodov verejného záujmu, napríklad v prípadoch medzinárodnej výmeny údajov… s cieľom obmedziť a/alebo vylúčiť doping zo športu“. Ako zdôraznila fínska vláda, toto odôvodnenie uvádza, že normotvorca Únie nezastával názor, že spracúvanie osobných údajov v oblasti antidopingovej kontroly, hoci sa týka nehospodárskej činnosti, nepatrí do pôsobnosti tohto nariadenia.

58.

Napokon kritérium založené na spojitosti s právom Únie prostredníctvom hospodárskej činnosti sa mi nezdá byť relevantné ani z hľadiska cieľov sledovaných GDPR. Takéto kritérium by totiž viedlo k tomu, že by bolo potrebné určiť pôsobnosť GDPR v každom jednotlivom prípade podľa toho, či spracúvanie predmetných údajov má alebo nemá súvislosť s osobitnými ustanoveniami práva Únie alebo so slobodami upravujúcimi vnútorný trh. Takýto prístup, ktorý sa líši v závislosti od konkrétnych dotknutých situácií, by mohol spôsobiť, že hranice pôsobnosti tohto nariadenia budú neisté a náhodné, ( 25 ) v rozpore s jeho základnými cieľmi, ktorými sú zabezpečenie konzistentného a jednotného uplatňovania pravidiel ochrany v celej Únii a odstrániť prekážky tokov osobných údajov v rámci Únie.

59.

Okrem toho by som dodal, že prinajmenšom v prípade profesionálnych športovcov nemožno vylúčiť súvislosť medzi antidopingovou právnou úpravou a ich profesijnou činnosťou, a teda hospodársku súvislosť najmä so slobodou pohybu a slobodným poskytovaním služieb. ( 26 ) Uložené sankcie totiž môžu mať nezanedbateľné hospodárske dôsledky z dôvodu zákazu ich činnosti, niekedy doživotného. Ak by sa pri určovaní pôsobnosti GDPR malo vychádzať z existencie takejto hospodárskej súvislosti, viedlo by to prinajmenšom k neuspokojivému výsledku, podľa ktorého by sa GDPR mohlo napríklad vzťahovať na profesionálnych športovcov, ale nie na amatérskych športovcov. ( 27 ) Takéto rozdielne zaobchádzanie podľa toho, či sa činnosť považuje za hospodársku, alebo nie, je ťažko zlučiteľné s GDPR a jeho cieľmi ochrany osobných údajov.

Záver k prvej otázke

60.

Vzhľadom na vyššie uvedené navrhujem, aby Súdny dvor odpovedal na prvú otázku tak, že článok 16 ods. 2 prvá veta ZFEÚ a článok 2 ods. 2 písm. a) GDPR sa majú vykladať v tom zmysle, že spracúvanie osobných údajov spočívajúce v uverejňovaní mien dotknutých športovcov, športovej disciplíny, ktorej sa venovali, porušenia antidopingových pravidiel, ktorého sa dopustili, uloženej sankcie, ako aj začiatku a konca doby trvania tejto sankcie na základe uplatnenia vnútroštátnych antidopingových predpisov, nemožno považovať za vykonávané v rámci „činnosti, ktorá nepatrí do pôsobnosti práva Únie“ v zmysle článku 2 ods. 2 písm. a) GDPR.

O druhej otázke

61.

Svojou druhou otázkou sa vnútroštátny súd pýta, či sa zverejnenie dotknutých osobných údajov týka „údajov týkajúcich sa zdravia“ v zmysle článku 9 GDPR.

O širokom výklade pojmu „údaje týkajúce sa zdravia“

62.

Význam tejto otázky spočíva v tom, že článok 9 GDPR stanovuje právny režim, ktorý osobitne chráni kategórie tzv. „citlivých“ osobných údajov, medzi ktoré patria „údaje týkajúce sa zdravia“ (alebo „zdravotné údaje“). Tieto údaje, ktoré sa považujú za jadro intimity jednotlivcov, si ako také vyžadujú vysokú úroveň ochrany, a to súčasne prostredníctvom ochrany súkromia, služobného tajomstva a právnym predpisom o ochrane osobných údajov. ( 28 ) Ich spracúvanie je preto zakázané podľa článku 9 ods. 1 GDPR, pokiaľ sa neuplatňuje jedna z výnimiek stanovených v odseku 2. Odráža to odôvodnenie 51 GDPR týkajúce sa citlivých údajov, podľa ktorého túto osobitnú ochranu vysvetľuje to, že „z kontextu ich spracúvania by mohli pre základné práva a slobody vyplývať významné riziká“. Podľa odôvodnenia 54 GDPR sa má zabrániť tomu, aby ich spracúvanie z dôvodov verejného záujmu viedlo k tomu, že sa budú spracúvať „na iné účely tretími stranami, napríklad zamestnávateľmi či poisťovňami a bankami“ ( 29 ). Nevyhnutnosť ochrany údajov sa okrem toho zvýšila informatizáciou zdravotníckych štruktúr a dematerializáciou nosičov a tokov údajov. ( 30 )

63.

Treba dodať, že zákaz spracúvania zdravotných údajov stanovený v článku 9 ods. 1 GDPR nezávisí od toho, či informácia odhalená predmetným spracúvaním je alebo nie je správna a či prevádzkovateľ koná s cieľom získať informácie patriace do jednej z osobitných kategórií uvedených v tomto ustanovení. ( 31 ) Z toho treba vyvodiť, že cieľ prevádzkovateľa, a najmä skutočnosť, že spracúvanie je nevyhnutné na základe zákonnej povinnosti alebo verejného záujmu, hoci predstavuje relevantnú skutočnosť v rámci prípadného uplatnenia jednej z desiatich výnimiek stanovených v článku 9 ods. 2 GDPR, nie je skutočnosťou, ktorú treba zohľadniť vo fáze kvalifikácie údajov ako „zdravotných údajov“. ( 32 )

64.

V súlade s článkom 4 bodom 15 GDPR v spojení s odôvodnením 35 tohto nariadenia takéto údaje zahŕňajú všetky osobné údaje týkajúce sa fyzického alebo duševného zdravia fyzickej osoby, ktoré odhaľujú ( 33 ) informácie o jej minulom, súčasnom alebo budúcom zdravotnom stave.

65.

Súdny dvor už rozhodol, že vzhľadom na cieľ GDPR sa pojem „údaje týkajúce sa zdravia“ uvedený v článku 9 ods. 1 tohto nariadenia musí vykladať široko. ( 34 ). Podľa kontextuálneho a teleologického výkladu článku 4 ods. 15 a článku 9 RGPD na to, aby bolo možné predmetné údaje kvalifikovať ako také, stačí, že môžu, hoci aj nepriamo, na základe myšlienkového pochodu porovnania alebo vyvodenia odhaliť informácie o zdravotnom stave dotknutej osoby. ( 35 )

66.

V tejto súvislosti mám dojem, že by bolo možné schematicky rozlíšiť dve kategórie zdravotných údajov.

67.

Na jednej strane údaje získané v rámci kontextu zdravotnej starostlivosti, ktoré podľa môjho názoru možno považovať za údaje týkajúce sa zdravia „z podstaty veci“ ( 36 ) „objektívne“ ( 37 ), ktoré sa vzťahujú, ako sa uvádza v odôvodnení 35 GDPR, na informácie týkajúcej sa napríklad fyzickej alebo duševnej choroby, zdravotného postihnutia, rizika ochorenia, anamnézy a klinickej liečby. Zvyčajne sa nachádzajú v zdravotnej dokumentácii dotknutej osoby. ( 38 ) Rovnako údaje, ktoré, hoci nie sú lekárskymi údajmi, sa zhromažďujú na účely ich zahrnutia do zdravotnej dokumentácie, ako je to v prípade administratívnych údajov určených na zahrnutie do tejto dokumentácie, sú z tohto dôvodu uvedené v odôvodnení 35 GDPR ako „zdravotné údaje“. Ide o údaje, ktoré sa považujú za údaje týkajúce sa zdravia a ktoré odhaľujú informácie o zdravotnom stave dotknutej osoby.

68.

V tomto rámci má pojem „riziko ochorenia“ uvedený v odôvodnení 35 GDPR jednoznačne určitý význam. Ako vyplýva z práce pracovnej skupiny zriadenej podľa článku 29, ide tu aj o údaje týkajúce sa potenciálneho budúceho zdravotného stavu dotknutej osoby. Budúce „vedecky preukázané alebo všeobecne vnímané“ riziko ochorenia je tak zohľadnené a ako príklad sa uvádza nadmerná konzumácia alkoholu alebo tabaku, ako aj užívanie drog. ( 39 )

69.

Na druhej strane, mimo kontextu zdravotnej starostlivosti, sa údaj môže týkať zdravia, najmä ak predmetný údaj môže, hoci aj nepriamo, odhaliť informácie o fyzickom alebo duševnom zdravotnom stave fyzickej osoby, či už minulom, súčasnom alebo budúcom. ( 40 ) Práve to je „šedá zóna“ ( 41 ) pojmu „zdravotné údaje“, ktorá vyvoláva otázku, do akej miery môže ich nepriama súvislosť so zdravím viesť k ich kvalifikácii ako zdravotných údajov. V tomto prípade je rozhodujúce, či z predmetných údajov možno vyvodiť závery o zdravotnom stave dotknutej osoby bez ohľadu na to, či ide o patologický alebo fyziologický stav, bez ohľadu na spoľahlivosť týchto záverov. V tejto súvislosti možno zohľadniť prvky kontextu, ( 42 ) rovnako ako súvislosť medzi dotknutou informáciou a schopnosťou vyvodiť z nich určitý aspekt zdravia osoby. ( 43 )

70.

Napríklad pracovná skupina zriadená podľa článku 29 považovala za zdravotný údaj informáciu o členstve osoby v skupinách, ktorých cieľ súvisí so zdravím, ako napríklad „Weight Watchers“ alebo „Anonymní alkoholici“ ( 44 ). Okrem toho hrubý údaj pochádzajúci z „merania seba samého“ (napríklad váha alebo krvný tlak zaznamenaný prostredníctvom pripojených hodiniek), ktorý sám osebe nie je údajom týkajúcim sa zdravia, by mohol v spojení s inými informáciami viesť k záverom o zdraví dotknutej osoby. Pracovná skupina zriadená podľa článku 29 v tejto súvislosti spresňuje, že by sa malo vykonať posúdenie každého jednotlivého prípadu: aplikácia, ktorá sleduje a uchováva počet krokov urobených počas niekoľkých dní a vymaže tieto údaje po týždni, nemusí spracúvať „zdravotné údaje“. Aplikácia, ktorá kombinuje niekoľkoročné komplexné kvantifikované záznamy o jednotlivcovi (napríklad sleduje spánkové a pohybové návyky, podrobné záznamy o stravovaní, hmotnosti, indexe telesnej hmotnosti, krvnom tlaku a iných životných štatistických údajoch, ako aj denník nálad), sa však považuje za aplikáciu spracúvajúcu údaje o zdraví. V tomto prípade sa za zdravotné údaje považujú nielen závery a dedukcie, ale aj hrubé údaje. ( 45 )

Uplatnenie na tento prípad

71.

V spore vo veci samej predmetná právna úprava stanovuje, že okrem uvedenia mien dotknutých športovcov a dĺžky trvania zákazov činnosti, ktoré im boli uložené, sa zverejnia dôvody tohto zákazu činnosti prostredníctvom odkazu na kategóriu konštatovaného (konštatovaných) porušenia (porušení). Ak sa porušenie týka zakázanej látky alebo metódy, táto sa uvedie aj v oznámení uverejnenom na internetovom sídle ÖADR. ( 46 )

72.

Predovšetkým je potrebné pripomenúť, že porušenia antidopingových pravidiel, ktoré sú sprístupnené verejnosti, sú rozdelené do viacerých kategórií. ( 47 )

73.

Rovnako ako rakúsky orgán na ochranu údajov zastávam názor, že z hľadiska pojmu „zdravotné údaje“ treba preskúmať len porušenia uvedené v kategóriách 2.1 a 2.2. Ostatné porušenia sa totiž týkajú protiprávneho konania, ktoré sa mi ako také nezdá byť spôsobilé odhaliť, a to ani nepriamo, informácie o zdravotnom stave dotknutej osoby. Napríklad informácia o tom, že športovec si nesplnil svoju povinnosť lokalizácie (porušenie antidopingových pravidiel kategórie 2.4) alebo že obchodoval so zakázanými látkami (porušenie kategórie 2.7), neodhaľuje žiadne informácie o jeho zdravotnom stave.

74.

Ďalej treba uviesť, že konštatovanie porušení kategórií 2.1 a 2.2 zahŕňa antidopingové testovanie dotknutého športovca a analýzu vzoriek s cieľom zistenia prítomnosti zakázaných látok a metód. Dodávam, že tieto analýzy vykonávajú akreditovaní odborníci, ( 48 ) a teda sa vykonávajú v kvázilekárskom, či dokonca lekárskom kontexte. Konštatovanie takýchto porušení nás teda vracia k pojmu „informácia získaná na základe vykonania testov alebo prehliadok častí organizmu alebo telesných látok“ v zmysle odôvodnenia 35 GDPR. Takéto informácie by sa preto mohli považovať za zdravotné údaje z podstaty veci.

75.

V tejto súvislosti je pravda, že test sa vykonáva s cieľom zistiť prítomnosť dopingových látok užitých s cieľom zlepšiť športovú výkonnosť a spracúvanie spočívajúce v zverejnení predmetných informácií zodpovedá represívnemu cieľu voči dotknutému športovcovi a cieľu odradenia. Pripomínam však, že sledovaný cieľ nie je relevantný z hľadiska kvalifikácie predmetných údajov. ( 49 )

76.

Rovnako skutočnosť, že dopingové látky nie sú liekmi, nepovažujem za presvedčivú. Na jednej strane totiž pojem „zdravotné údaje“ nezahŕňa len lekárske údaje s terapeutickým účelom. Niektoré lieky sú navyše škodlivé pre zdravie, ak sú používané nesprávne. Na druhej strane, cieľom boja proti dopingu je nepochybne podpora spravodlivosti a rovnosti medzi športovcami, ale ide aj o otázku zdravia. ( 50 ) Množstvo látok alebo metód je pritom zakázaných z dôvodu ich škodlivých účinkov na zdravie, aj keď sa tieto účinky líšia v závislosti od výrobku, užitého množstva alebo telesnej konštitúcie dotknutej osoby. ( 51 )

77.

Preto na účely kvalifikácie predmetného údaja bez ohľadu na skutočnosť, že cieľ sledovaný športovcom spočíva v zlepšení jeho výkonu, nemožno podľa môjho názoru nezohľadniť účinky užitia zakázanej látky na zdravie tohto športovca bez ohľadu na to, či sú tieto účinky súčasné alebo budúce.

78.

Napokon zastávam názor, že skutočnosť, že ÖADR uverejňuje názov zakázanej látky zistenej v tele na internete, môže informovať verejnosť o rizikách, ktoré môže jej užitie znamenať pre zdravie dotknutého športovca.

79.

Určite je pravda, že samotné uvedenie názvu zakázanej látky, ktorá sa nachádza v organizme, by sa mohlo samo osebe považovať za nedostatočné na odhalenie informácií o – hoci aj budúcom – zdravotnom stave dotknutého športovca. Samotný obsah informácie by sa v tejto súvislosti mohol považovať za príliš stručný a súvislosť so zdravotným stavom za príliš nepriamu, ba dokonca hypotetickú na to, aby predstavovala „zdravotný údaj“ v zmysle GDPR. Nemožno však vylúčiť, že v spojení s inými skutočnosťami môže byť táto informácia, hoci aj nepriamo, spôsobilá na základe myšlienkového pochodu porovnania alebo vyvodenia odhaliť informácie o – dokonca budúcom – zdravotnom stave dotknutej osoby.

80.

Preto zastávam názor, že uvedenie názvu predmetnej látky (alebo jej kategórie) poskytuje údaje, ktoré, hoci sú len málo podrobné, môžu, hoci nepriamo, informovať o zdravotnom stave dotknutej osoby. V osobitnom kontexte GDPR predstavuje takýto údaj za určitých okolností, ktoré prináleží overiť vnútroštátnemu súdu, „údaj týkajúci sa zdravia“ v zmysle článku 4 bodu 15 a článku 9 ods. 1 GDPR v spojení s odôvodnením 35 tohto nariadenia.

81.

Naopak sa domnievam, že by to tak nebolo, ak by dotknutá zakázaná látka (alebo jej kategória) nebola uvedená. V tomto prípade by totiž nebolo možné urobiť súvislosť medzi konštatovaním porušenia z dôvodu prítomnosti zakázanej látky v tele na jednej strane a informáciami o zdravotnom stave dotknutej osoby na druhej strane, a to ani „na základe myšlienkového pochodu porovnania alebo vyvodenia“. Táto súvislosť by teda podľa môjho názoru bola príliš nepriama na to, aby zverejňovaná informácia mohla patriť do kategórie „údajov týkajúcich sa zdravia“ podľa GDPR.

Záver o druhej otázke

82.

Navrhujem teda, aby Súdny dvor rozhodol, že článok 9 ods. 1 GDPR sa má vykladať v tom zmysle, že zverejnenie mena dotknutého športovca, doby trvania zákazu činnosti, ktorý mu bol uložený, a dôvodov tohto zákazu činnosti nepredstavuje spracúvanie údajov týkajúcich sa zdravia v zmysle tohto ustanovenia, okrem prípadu, keď tieto dôvody obsahujú názov zakázanej látky alebo zakázaných látok, ktorých prítomnosť bola zistená v tele dotknutého športovca, keďže tento údaj môže, hoci aj nepriamo, odhaliť informácie o zdravotnom stave dotknutého športovca, hoci aj budúcom, čo prináleží overiť vnútroštátnemu súdu.

O piatej otázke

83.

Vnútroštátny súd sa v podstate pýta, či predmetné uverejnenie predstavuje spracúvanie osobných údajov týkajúcich sa uznania za vinného zo spáchania trestných činov alebo priestupkov v zmysle článku 10 GDPR. V tejto súvislosti spresňuje, že sankcie v spore vo veci samej zahŕňajú odňatie titulov a odmien, ako aj zákaz činnosti na dobu niekoľkých rokov alebo doživotný zákaz účasti na všetkých (vnútroštátnych a medzinárodných) súťažiach. Okrem toho uvádza, že podľa § 24 ods. 4 ADBG športové organizácie nemôžu „využívať“ osoby, na ktoré sa vzťahuje zákaz činnosti podľa antidopingových právnych predpisov, a preto ich nemôžu za odplatu zamestnať.

84.

Pred analýzou povahy predmetných uznaní za vinného a porušení antidopingových pravidiel pripomeniem význam trestnoprávnej kvalifikácie v kontexte článku 10 GDPR.

Význam „trestnej“ povahy uznaní za vinného a porušení v zmysle článku 10 GDPR

85.

Treba pripomenúť, že normotvorca Únie nezakazuje spracúvanie osobných údajov týkajúcich sa uznania za vinného zo spáchania trestných činov alebo priestupkov, ale podrobuje ho sprísnenej kontrole, keďže môže mať významný vplyv na život dotknutých osôb, najmä pokiaľ ide o poškodenie dobrého mena alebo diskrimináciu v iných oblastiach. Takéto spracúvanie sa tak môže uskutočniť len „pod kontrolou orgánu verejnej moci“ alebo ak právne predpisy povoľujúce toto spracúvanie údajov stanovujú „primerané záruky ochrany práv a slobôd dotknutých osôb“. ( 52 ) Článok 10 GDPR vyhradzuje túto zvýšenú ochranu len pre trestnoprávnu oblasť, pričom pojem „trestný“ označuje tak „uznania za vinného zo spáchania trestných činov“, ako aj „priestupky“. ( 53 )

86.

Článok 10 GDPR sa tak môže vzťahovať na vedenie záznamov o uznaniach za vinného z trestných činov a priestupkov súkromnými subjektmi, ( 54 ) napríklad v rámci boja proti praniu špinavých peňazí alebo v rámci činností forenzných laboratórií. ( 55 ) Možno tiež uviesť príklad spracúvania osobných údajov organizáciami prenajímajúcimi vozidlá, ktoré identifikujú a označujú vodiča, ktorý porušil pravidlá cestnej premávky.

87.

V prejednávanej veci teda vzniká otázka, či „športový register“, ktorý na internete prevádzkujú NADA a ÖADR, predstavuje „register“ uznaní za vinného z trestných činov a priestupkov, ktoré patria do pôsobnosti článku 10 GDPR, a teda si vyžadujú zvýšenú ochranu.

Analýza „trestnej“ alebo netrestnej povahy v zmysle článku 10 GDPR, pokiaľ ide o uznania za vinného a porušenia v oblasti antidopingových pravidiel

88.

Podľa judikatúry Súdneho dvora pojem „trestne stíhateľný skutok“, ktorý je rozhodujúci na určenie uplatniteľnosti článku 10 GDPR na osobné údaje, vyžaduje v celej Únii autonómny a jednotný výklad, ktorý treba hľadať s prihliadnutím na cieľ sledovaný týmto ustanovením, a kontext, do ktorého toto ustanovenie patrí, pričom v tejto súvislosti nie je rozhodujúca kvalifikácia, ktorú tomuto skutku dáva dotknutý členský štát, keďže táto kvalifikácia môže byť odlišná v závislosti od krajiny.

89.

Tri „kritériá rozsudku Engel“ prijaté Súdnym dvorom, ( 56 ) a to právna kvalifikácia porušenia vo vnútroštátnom práve, samotná povaha porušenia a stupeň prísnosti sankcie, ktorá hrozí dotknutej osobe, sú teda relevantné na posúdenie trestnoprávnej povahy porušenia.

90.

Hoci prislúcha vnútroštátnemu súdu, aby vo svetle týchto kritérií posúdil, či uznania za vinného a porušenia, ktorých sa týka konanie vo veci samej, majú trestnoprávnu povahu v zmysle článku 10 GDPR, Súdny dvor rozhodujúci o návrhu na začatie prejudiciálneho konania môže poskytnúť vnútroštátnemu súdu spresnenia vo svojom výklade. ( 57 )

91.

Predmetné porušenia a uznanie za vinného teda preskúmam z hľadiska týchto troch kritérií.

–

Právna kvalifikácia porušenia antidopingových pravidiel vo vnútroštátnom práve

92.

Z návrhu na začatie prejudiciálneho konania vyplýva, že podľa rakúskeho práva ÖADR vedie disciplinárne konania pre príslušný športový zväz. Rovnako rakúska vláda na pojednávaní zdôraznila, že antidopingová právna úprava má povahu sui generis, keďže porušenia antidopingových pravidiel sú porušeniami predpisov dotknutých športových zväzov, ktoré sa športovci zaväzujú dodržiavať, ( 58 ) a nie porušenia zákona.

93.

Kvalifikácia porušení antidopingových pravidiel vo vnútroštátnom práve teda nepodporuje „trestnoprávnu“ kvalifikáciu v zmysle článku 10 GDPR.

94.

Dosah prvého kritéria rozsudku Engel však treba relativizovať, keďže aj v prípade porušení práva, ktoré sa vo vnútroštátnom práve nekvalifikujú ako „trestnoprávne“, takáto povaha môže napriek všetkému vyplývať zo samotnej povahy predmetného porušenia a zo stupňa prísnosti sankcií, ktoré môžu byť dôsledkom takého porušenia. ( 59 ) To platí najmä v oblasti antidopingových pravidiel, pretože zavedený nadštátny systém zahŕňa rôzne subjekty, medzinárodné a vnútroštátne, ( 60 ) a členské štáty rôznymi spôsobmi začlenili WADC do svojich právnych systémov. Uplatňovanie antidopingových pravidiel je teda v jednotlivých štátoch nevyhnutne rozmanité v závislosti od rôznych modelov štátnych organizácií, aj keď sa zdá, že vo väčšine členských štátov NADA nemajú v tejto súvislosti trestnoprávne právomoci. ( 61 )

95.

Je teda potrebné preskúmať ďalšie dve kritériá rozsudku Engel.

–

Povaha porušenia

96.

Toto druhé kritérium vyžaduje overiť, či sankcia zodpovedajúca predmetnému porušeniu sleduje najmä represívny účel bez toho, aby samotná okolnosť, že sleduje tiež preventívny účel, bola takej povahy, že by ju zbavovala jej kvalifikácie ako „trestnoprávnej sankcie“. Zo samotnej povahy trestnoprávnych sankcií totiž vyplýva, že smerujú tak k represii, ako aj k prevencii nezákonných konaní. Naopak opatrenie, ktoré sa obmedzuje na náhradu škody spôsobenej dotknutým porušením, nemá trestnoprávnu povahu. ( 62 )

97.

Z návrhu na začatie prejudiciálneho konania vyplýva, že porušeniam antidopingových pravidiel zodpovedajú dve kategórie sankcií.

98.

Na jednej strane ide o odňatie titulov a odmien, čo spočíva vo vrátení vyhraných odmien, aby tieto mohli byť prerozdelené medzi športovcov, ktorí by na ne mali nárok, ak by sa sankcionovaný športovec nezúčastnil súťaže. Zdá sa, že takáto sankcia zodpovedá porušeniu „pravidiel hry“ (lex sportiva) a možno ju považovať za sankciu, ktorej cieľom je najmä obnoviť poctivosť súťaží, ( 63 ) aj keď to nič nemení na jeho sankčnej povahe pre dotknutého športovca.

99.

Na druhej strane ide o zákaz účasti na športových súťažiach, ktorý môže trvať niekoľko mesiacov alebo niekoľko rokov, či dokonca, ako je to v prípade jedného zo žalobcov vo veci samej, môže ísť až o doživotný zákaz účasti na všetkých súťažiach. Toto pozastavenie možno určite vnímať ako snahu „vykázať“ vinného športovca tak, aby bol odstránený alebo vylúčený zo spoločenstva športovcov, a tým zachovať integritu tohto spoločenstva. Je však určená aj na sankcionovanie športovca, ktorý porušil antidopingové pravidlá, ktoré sa zaviazal dodržiavať, ako aj na odradenie ostatných športovcov od toho, aby tak urobili.

100.

Hlavný účel týchto antidopingových sankcií, prinajmenšom zákaz účasti na súťažiach, sa teda nejaví ako náhrada škody spôsobenej tretím osobám v dôsledku porušenia, ale skôr sankcionovanie správania dotknutého športovca, čo by svedčilo uznaniu za vinného v trestnom konaní. ( 64 ) V tejto súvislosti majú antidopingové pravidlá, aj keď nie sú súborom trestného práva, represívnu úlohu. ( 65 )

101.

„Trestnoprávna“ kvalifikácia v rámci tohto druhého kritéria Engel by však mohla vyvolať dva druhy pochybností.

102.

Prvá pochybnosť vyplýva zo zistenia, že disciplinárne konania súd v Štrasburgu riešil spravidla v rámci občianskoprávnej časti článku 6 EDĽP, ( 66 ) s výnimkou napríklad prípadu, keď ide o pozbaveniu osobnej slobody a sankcia má dostatočne vysoký stupeň prísnosti. ( 67 )

103.

Súd v Štrasburgu predovšetkým dospel k záveru, že článok 6 EDĽP sa vo svojej občianskoprávnej časti uplatňuje na „spory týkajúce sa odňatia práva vykonávať povolanie“ ( 68 ), a to aj v oblasti športu. ( 69 )

104.

Trestnoprávna povaha zákazu výkonu povolania teda zďaleka nie je samozrejmá.

105.

Zdá sa mi však, že z toho nemožno ipso facto a absolútne vyvodiť, že je vylúčené, aby disciplinárna sankcia vedúca k zákazu účasti na športových súťažiach spadala do trestnoprávnej oblasti.

106.

Takýto prístup sa totiž zdá byť čisto formalistický.

107.

Okrem toho pripomínam, že obe časti článku 6 EDĽP – občianskoprávnej a trestnoprávnej povahy –, sa nevyhnutne nevylučujú. ( 70 )

108.

Napokon treba mať na pamäti, že súd v Štrasburgu skúma trestnoprávnu alebo občianskoprávnu povahu predmetného porušenia práva z hľadiska výhrad, ktoré mu boli predložené, a na účely posúdenia, či sa záruky spravodlivého procesu stanovené v článku 6 EDĽP uplatňujú v ich občianskoprávnej časti (odsek 1) alebo v trestnoprávnej časti (odseky 1 až 3).

109.

Naproti tomu v kontexte článku 10 GDPR ide o posúdenie toho, či má uznanie za vinného alebo porušenie antidopingových pravidiel trestnoprávnu povahu na účely určenia, či sa predmetné spracúvanie (v tomto prípade uverejnenie) týka informácií, ktoré si vyžadujú zvýšenú ochranu zahŕňajúcu dohľad zo strany orgánu verejnej moci. K tomu treba dodať, že nič nebráni prijatiu širšieho výkladu zaručujúceho zvýšenú ochranu predmetných práv a slobôd. ( 71 ) Práve v tomto kontexte článku 10 GDPR teda prináleží vnútroštátnemu súdu, aby posúdil, či sú alebo nie sú splnené kritériá rozsudku Engel, a najmä druhé kritérium týkajúce sa povahy porušenia.

110.

Druhá pochybnosť vyplýva zo skutočnosti, že uznania za vinného a porušenia antidopingových pravidiel sa týkajú len určitej skupiny osôb, a to športovcov, na rozdiel od disciplinárnych sankcií, ktorých všeobecným cieľom je zabezpečiť, aby členovia určitej skupiny dodržiavali pravidlá správania špecifické pre danú skupinu. ( 72 ) Cieľom takýchto ustanovení je chrániť česť a povesť povolania a zachovať dôveru verejnosti v toto povolanie. ( 73 )

111.

Je pravda, že takéto konštatovanie by umožnilo kvalifikovať porušenie ako „disciplinárne“ v tom zmysle, že sa uplatňuje na určitý počet osôb, na ktoré sa vzťahuje súbor osobitných pravidiel. Prejednávaná vec sa tým odlišuje od veci, v ktorej bol vydaný rozsudok Latvijas Republikas Saeima a v ktorej sa prideľovanie pokutových bodov za dopravné priestupky zakladalo na všeobecne záväznom právnom predpise. ( 74 )

112.

Kvalifikácia ako „trestne stíhateľného skutku“ v zmysle článku 10 GDPR však nie je vylúčená. Ak by totiž užší rozsah, vlastný disciplinárnym predpisom, stačil na to, aby sa zabránilo „trestnoprávnej“ kvalifikácii trestného činu, opäť by sa odkazovalo na čisto formalistický prístup k tomuto pojmu. Takýto prístup je ťažko zlučiteľný s judikatúrou, ktorá v tejto súvislosti ukladá povinnosť hľadať represívny alebo preventívny účel sankcie na účely vymedzenia povahy porušenia, na rozdiel od čisto nápravného cieľa.

113.

V prejednávanej veci, ako už bolo uvedené, ( 75 ) cieľom uznaní za vinného z porušenia antidopingových pravidiel nie je náhrada škody spôsobenej dotknutými porušeniami (alebo nielen, ak vezmeme do úvahy škodu spôsobenú spoločenstvu športovcov), ale naopak sledovanie represívneho cieľa, ktorý má takú povahu, že im dáva status „trestnoprávnych“ uznaní za vinného v zmysle výkladu tohto druhého kritéria judikatúrou, bez ohľadu na to, či uplatniteľný text má alebo nemá všeobecnú povahu. Okrem toho poukazujem na to, že Tribunal arbitral du sport (Športový arbitrážny súd, Švajčiarsko), medzinárodná inštitúcia, ktorá ponúka rozhodcovské konanie alebo mediáciu v športe, sám uznáva v prípade potreby „kvázitrestnú“ povahu antidopingových sankcií. ( 76 )

114.

Navyše niektoré antidopingové trestné činy, ako je napríklad obchodovanie so zakázanými látkami, môžu viesť k sankciám, ktoré spadajú tak pod antidopingovú úpravu, ako aj pod vnútroštátnu trestnoprávnu úpravu. Je pravda, že súd v Štrasburgu dospel k záveru, že skutočnosť, že konanie, ktoré môže viesť k uloženiu disciplinárnej sankcie, je tiež trestným činom, nepostačuje na to, aby sa osoba zodpovedná podľa disciplinárneho práva považovala za „obvinenú“ z trestného činu. ( 77 ) Zdá sa mi však, že by to mohlo predstavovať prvok, ktorý treba zohľadniť v rámci druhého kritéria rozsudku Engel.

115.

Napriek vyjadreným výhradám sa preto v tomto štádiu domnievam, že nemožno vylúčiť, že v prípade určitých porušení antidopingových pravidiel možno vzhľadom na ich represívnu alebo preventívnu povahu dospieť k záveru, že majú trestnoprávnu povahu v zmysle článku 10 GDPR.

–

Stupeň prísnosti sankcie

116.

Toto tretie kritérium rozsudku Engel treba posúdiť v závislosti od maximálneho trestu, stanoveného príslušnými ustanoveniami, ktorý možno uložiť. ( 78 )

117.

Tento stupeň prísnosti sa však líši v závislosti od spáchaného porušenia antidopingových pravidiel. Napríklad dĺžka trvania uloženého zákazu činnosti sa líši v závislosti od predmetných porušení antidopingových pravidiel. V tejto súvislosti môže zohrávať úlohu aj recidíva a úmysel osoby, ktorá sa dopustila porušenia. ( 79 )

118.

Z návrhu na začatie prejudiciálneho konania vyplýva, že v prejednávanej veci môže ísť o „zákaz účasti na všetkých (vnútroštátnych a medzinárodných) súťažiach na dobu niekoľkých rokov alebo aj doživotne“, čo tým pádom môže viesť k definitívnemu zákazu výkonu povolania športovca.

119.

Rozhodne nejde o trest odňatia slobody. To však nie je rozhodujúce, pretože „malá závažnosť trestného činu nemôže zbaviť trestný čin jeho vnútornej trestnoprávnej povahy“ ( 80 ). Okrem toho kariéra profesionálneho športovca dotknutej osoby môže v závislosti od dĺžky trvania zákazu činnosti skončiť, najmä vzhľadom na vek dotknutých osôb a konštatovanie, že táto kariéra trvá – najmä v niektorých športoch – relatívne krátko.

120.

K tomuto zákazu činnosti, prípadne až „doživotnému“, sa pridáva praktická nemožnosť nájsť si zamestnanie v oblasti športu vzhľadom na zákaz spolupráce s osobou, ktorej bol uložený zákaz činnosti počas celého obdobia trvania tohto zákazu.

121.

K hospodárskym a finančným dôsledkom pre dotknutú osobu sa napokon pridáva spoločenské odsúdenie a stigmatizácia tak vo verejnej, ako aj v súkromnej sfére.

122.

Z uvedeného podľa môjho názoru vyplýva, že takáto sankcia má závažnosť, ktorá môže mať účinok rovnocenný s uznaním za vinného v trestnom konaní v zmysle článku 10 GDPR, čo však prináleží posúdiť vnútroštátnemu súdu v každom jednotlivom prípade.

123.

V dôsledku toho zastávam názor, že porušenia antidopingových pravidiel a uznania za vinného v tejto oblasti by sa mali v zásade považovať za disciplinárne, okrem prípadov, keď je uznanie za vinného natoľko prísne, že spadá do trestnoprávnej oblasti. Takéto posúdenie, ktoré nemôže byť spochybnené samotnou kvalifikáciou vo vnútroštátnom práve, navyše zapadá do rámca represívneho a preventívneho cieľa uznania za vinného, ktorý dotknutému porušeniu priznáva trestnoprávnu povahu. V tomto kontexte by teda doživotný zákaz účasti na všetkých súťažiach podľa môjho názoru mohol predstavovať sankciu s účinkom rovnocenným s trestnoprávnou sankciou, ktorá môže viesť k uplatniteľnosti článku 10 GDPR.

124.

Napokon dodávam, že tvrdenie NADA, ktoré varuje pred dôsledkami, ktoré by pre všetky profesijné komory malo uplatnenie článku 10 GDPR na spracúvanie údajov týkajúcich sa disciplinárnych priestupkov a uznaní za vinného, ma nepresvedčilo. V tomto prípade totiž nejde o všeobecné a abstraktné „strestnoprávnenie“ všetkých disciplinárnych priestupkov a uznaní za vinného. Z predchádzajúcej analýzy vyplýva, že posúdenie sa musí vykonať v závislosti od okolností každého jednotlivého prípadu a na účely výkladu článku 10 GDPR, ktorý v prípade existencie „registra“ uznaní za vinného a porušení spadajúcich do jeho pôsobnosti vyžaduje zvýšenú ochranu. Navyše právny základ spracúvania údajov týkajúcich sa takýchto porušení a uznaní za vinného, kvalifikovaných ako „trestné“, môže spočívať aj v právnych predpisoch Únie alebo členských štátov, ktoré stanovujú „primerané záruky“.

Záver k piatej otázke

125.

Domnievam sa, že na piatu otázku treba odpovedať tak, že článok 10 GDPR sa má vykladať v tom zmysle, že sa môže uplatniť na spracúvanie osobných údajov týkajúcich sa uznaní za vinného alebo porušení stanovených vnútroštátnou antidopingovou úpravou, ak bez ohľadu na kvalifikáciu týchto porušení podľa vnútroštátneho práva, uznania za vinného, ktoré z nich vyplývajú, sledujú represívny účel a vykazujú taký stupeň prísnosti, že majú účinok rovnocenný s trestnoprávnou sankciou, čo prináleží overiť vnútroštátnemu súdu.

O šiestej otázke

126.

V prípade kladnej odpovede na piatu otázku sa vnútroštátny súd pýta, či činnosti, resp. rozhodnutia orgánu, na ktorý je podľa článku 10 GDPR delegovaný dohľad nad spracúvaním osobných údajov týkajúcich sa uznania za vinného zo spáchania trestných činov a priestupkov alebo súvisiacich bezpečnostných opatrení, podliehať súdnemu preskúmaniu.

127.

Po prvé spresním, že dotknutým orgánom je „orgán verejnej moci“ v zmysle článku 10 GDPR, ktorý by sa nemal zamieňať s „dozorným orgánom“ v zmysle článku 51 GDPR. ( 81 ) Pripomínam tiež, že spracúvanie osobných údajov týkajúcich sa uznania za vinného zo spáchania trestných činov a priestupkov sa vykonáva len pod kontrolou orgánu verejnej moci, alebo ak je spracúvanie povolené právom Únie alebo právom členského štátu poskytujúcim primerané záruky ochrany práv a slobôd dotknutých osôb. ( 82 ) Odpoveď na túto otázku je teda potrebné dať do súvislosti s odpoveďami na tretiu a štvrtú prejudiciálnu otázku, ktoré sú preskúmané nižšie. ( 83 )

128.

Po druhé treba konštatovať, že GDPR neobsahuje definíciu pojmu „orgán verejnej moci“ ani pojmu „kontrola orgánu verejnej moci“ v zmysle článku 10 tohto nariadenia. V tejto súvislosti prináleží členským štátom, aby určili, ktorý subjekt vykonáva kontrolu „orgánu verejnej moci“ v prípade spracúvania osobných údajov v zmysle článku 10 GDPR. Ako uvádza Komisia, nie je vylúčené, že za takéto služby možno považovať viacero služieb a nemusí ísť nutne o „prevádzkovateľa“.

129.

Po tretie je pravda, že doslovné znenie článku 10 GDPR nestanovuje súdne preskúmanie činností alebo rozhodnutí tohto „orgánu verejnej moci“. Kontextuálny výklad tohto ustanovenia však svedčí v prospech takéhoto preskúmania, ak dotknuté osoby chcú uplatniť svoje práva. Rovnako ako viaceré zainteresované strany sa totiž domnievam, že preskúmanie aktov v oblasti spracúvania osobných údajov, a to aj v prípade, že toto preskúmanie nasleduje po rozhodnutí orgánu verejnej moci v zmysle článku 10 GDPR, musí byť v súlade s článkom 79 ods. 1 GDPR, aj keď naň vnútroštátny súd vo svojej otázke neodkazuje. Podľa tohto ustanovenia, bez toho, aby bol dotknutý akýkoľvek dostupný správny alebo mimosúdny prostriedok nápravy vrátane práva na podanie sťažnosti dozornému orgánu podľa článku 77 tohto nariadenia, každá dotknutá osoba má právo na účinný súdny prostriedok nápravy, ak sa domnieva, že v dôsledku spracúvania jej osobných údajov v rozpore s uvedeným nariadením došlo k porušeniu jej práv ustanovených v tomto nariadení. Navyše, ako zdôrazňuje fínska vláda, samotná existencia účinného súdneho preskúmania na účely dodržania ustanovení práva Únie je inherentnou súčasťou právneho štátu.

130.

Po štvrté je takýto výklad potvrdený cieľom uvedeným v článku 10 GDPR, ktorým je zabezpečiť zvýšenú ochranu pred spracúvaním, ktoré z dôvodu osobitnej citlivosti predmetných údajov môže predstavovať obzvlášť závažný zásah do základných práv na rešpektovanie súkromného života a na ochranu osobných údajov. ( 84 ) Výklad článku 10 GDPR, ktorý by a priori a všeobecne vylučoval činnosti alebo rozhodnutia orgánu verejnej moci v zmysle tohto ustanovenia zo súdneho preskúmania, by bol v rozpore s týmito cieľmi.

131.

Za týchto podmienok a vzhľadom na to, že činnosti alebo rozhodnutia dotknutého orgánu verejnej moci nie sú ďalej spresnené, sa domnievam, že na šiestu prejudiciálnu otázku treba odpovedať tak, že článok 10 GDPR v spojení s článkom 79 ods. 1 tohto nariadenia sa má vykladať v tom zmysle, že činnosti alebo rozhodnutia orgánu, ktorému bola podľa tohto ustanovenia zverená kontrola spracúvania osobných údajov týkajúcich sa uznaní za vinného zo spáchania trestných činov a priestupkov alebo súvisiacich bezpečnostných opatrení, musia podliehať súdnemu preskúmaniu.

O tretej a štvrtej otázke

132.

V rámci týchto dvoch otázok, ktoré možno preskúmať spoločne, sa vnútroštátny súd v podstate pýta po prvé, či článok 5 ods. 1 písm. a) a c) a článok 6 ods. 3 druhý pododsek GDPR možno vykladať tak, že bránia povinnosti, ktorú vnútroštátnym antidopingovým orgánom ukladá vnútroštátne právo, zverejniť dotknuté osobné údaje, a to najmä mená športovcov sankcionovaných za porušenie antidopingových pravidiel, dĺžku trvania uloženého zákazu činnosti a jeho dôvody.

133.

Po druhé sa pýta, či GDPR vyžaduje, aby prevádzkovateľ pred uverejnením vykonal ad hoc vyváženie záujmov, alebo či je dostatočné preskúmanie primeranosti stanovené zákonodarcom.

O primeranosti spornej právnej úpravy

134.

Vnútroštátny zákonodarca v ADBG stanovil, že určité údaje (meno športovca, dĺžka trvania a dôvody zákazu činnosti) sa majú bezplatne sprístupňovať ( 85 ) Federálnej organizácii športu, športovým organizáciám, športovcom, iným osobám (členom realizačných tímov), organizátorom súťaží, ako aj uverejňovať pre širokú verejnosť bez toho, aby z toho bolo možné vyvodiť údaje týkajúce sa zdravia. Okrem toho je stanovené, že od zverejnenia týchto informácií možno upustiť len v prípade, ak je dotknutá osoba amatérskym športovcom, osobitne zraniteľnou osobou (maloletou osobou) alebo osobou, ktorá poskytnutím informácií alebo inými upozorneniami podstatne prispela k odhaleniu potenciálnych porušení antidopingových pravidiel. Pokiaľ sa nemýlim, ADBG v tomto prípade výslovne nestanovuje ani zmienku o dotknutej zakázanej látke, ani uverejnenie na internete.

135.

V praxi NADA a ÖADR implementovali túto právnu úpravu prostredníctvom uverejňovania na internete v prípade profesionálnych športovcov, a to s uvedením prípadnej dotknutej zakázanej látky, pokiaľ ide o uverejnenie zo strany ÖADR.

–

Úvodné pripomienky a pripomenutie zásad

136.

Pripomínam, že cieľ sledovaný GDPR, ktorý vyplýva z jeho článku 1, ako aj z jeho odôvodnení 1 a 10, spočíva najmä v zabezpečení vysokej úrovne ochrany základných práv a slobôd fyzických osôb, najmä ich práva na súkromie v súvislosti so spracúvaním osobných údajov zakotveného v článku 8 ods. 1 Charty a v článku 16 ods. 1 ZFEÚ a úzko súvisí s právom na rešpektovanie súkromného života zakotveným v článku 7 Charty.

137.

V tejto súvislosti základné práva na rešpektovanie súkromného života a na ochranu osobných údajov zaručené v článkoch 7 a 8 Charty nie sú absolútnymi výsadami. Obmedzenia teda možno zaviesť, pokiaľ sú v súlade s článkom 52 ods. 1 Charty ustanovené zákonom a rešpektujú podstatu základných práv, ako aj zásadu proporcionality. ( 86 )

138.

V prejednávanej veci sa zverejnenie osobných údajov dotknutých športovcov uskutočňuje na základe zákonnej povinnosti, ktorú prevádzkovateľom ukladá vnútroštátny zákon. ( 87 )

139.

Toto spracúvanie údajov preto možno považovať za spracúvanie, na ktoré sa vzťahuje prípad uvedený v článku 6 ods. 1 písm. c) GDPR, ktorý stanovuje, že spracúvanie, ktoré je nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa, je zákonné. Vzhľadom na to, že boj proti dopingu možno považovať za plnenie úlohy realizovanej vo verejnom záujme, ( 88 ) na predmetné spracúvanie sa môže vzťahovať aj prípad uvedený v článku 6 ods. 1 písm. e) GDPR. Nie je však potrebné rozhodnúť, ktorá z týchto podmienok zákonnosti je uplatniteľná v prejednávanej veci, alebo či sa obe uplatňujú. ( 89 )

140.

Článok 6 ods. 3 nariadenia GDPR vo vzťahu k týmto dvom prípadom zákonnosti spracúvania uvedenými v článku 6 ods. 1 písm. c) a e) GDPR spresňuje, že spracúvanie musí mať základ v práve Únie alebo v práve členského štátu vzťahujúcom sa na prevádzkovateľa a že tento právny základ musí spĺňať cieľ verejného záujmu a byť primeraný sledovanému oprávnenému cieľu.

141.

Rovnako každé spracúvanie osobných údajov musí byť najmä v súlade so zásadami uvedenými v článku 5 ods. 1 GDPR, a najmä so zásadami zákonnosti a „minimalizácie údajov“ uvedenými v písmenách a) a c) tohto ustanovenia. Podľa zásady minimalizácie musia byť osobné údaje primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú, čo odráža zásadu proporcionality. ( 90 )

142.

Otázky položené vnútroštátnym súdom si teda vyžadujú overiť, či vnútroštátna právna úprava ako právny základ predmetného spracúvania spĺňa požiadavky vyplývajúce z týchto ustanovení, teda či zodpovedá cieľu verejného záujmu a je primeraná sledovanému oprávnenému cieľu.

143.

V prejednávanej veci sa v rámci boja proti dopingu v športe, ktorý je nepochybne cieľom verejného záujmu, prijímajú sankcie v prípade porušenia antidopingových pravidiel. K tomu sa pridáva sprístupnenie dotknutých osobných údajov širokej verejnosti, ktoré sleduje dva rovnako oprávnene ciele, na ktoré poukázali dotknutí účastníci konania a rakúska vláda na pojednávaní. Na jednej strane ide o odradenie športovcov od porušovania antidopingových pravidiel, a tým o predchádzanie dopingu v športe. Na druhej strane ide o to, aby sa zabránilo obchádzaniu antidopingových pravidiel tým, že sa všetkým osobám, ktoré môžu sponzorovať alebo zamestnať dotknutého športovca, oznámi, že má zákaz činnosti. ( 91 )

144.

Je teda potrebné, aby vnútroštátny súd overil, či vnútroštátna právna úprava stanovujúca predmetné spracúvanie, tak ako ju vykonávajú NADA a ÖADR, je spôsobilá prispieť k dosiahnutiu cieľov všeobecného záujmu, ktoré sleduje, a či je nevyhnutná a primeraná týmto cieľom, pričom Súdny dvor má právomoc poskytnúť vnútroštátnemu súdu užitočné výkladové prvky.

–

O vhodnosti uverejňovania na dosiahnutie sledovaných cieľov

145.

Zdá sa mi, že uverejňovanie predmetných údajov možno bez väčších ťažkostí považovať za vhodné na dosiahnutie oboch sledovaných cieľov.

146.

Po prvé totiž uverejnenie mena sankcionovaného športovca, ako aj dôvodov a dĺžky trvania jeho zákazu činnosti informuje širokú verejnosť, že doping nezostáva nepotrestaný a že je sprevádzaný nielen sankciami, ale aj menovitým uverejnením sankcie zákazu činnosti. To podnecuje verejnosť, a v jej rámci športovcov, či už profesionálnych alebo amatérskych, aby sa zdržali porušovania antidopingových pravidiel, a teda zodpovedá cieľu odradenia a prevencie.

147.

Po druhé uverejnenie tohto zákazu činnosti tiež umožňuje informovať osoby, ktoré by mohli chcieť zamestnať dotknutého športovca z akéhokoľvek dôvodu v súvislosti so športom, že má zákaz činnosti a nemá vykonávať športové činnosti. Dodám, že spolupráca so športovcom, ktorý má zákaz činnosti, tiež predstavuje porušenie antidopingových pravidiel. ( 92 ) Takéto uverejnenie tak môže prispieť k tomu, že nedôjde k spáchaniu takýchto porušení z dôvodu nevedomosti.

148.

Na druhej strane mi nie je jasné, v čom uvedenie prípadne dotknutej zakázanej látky, ktoré nie je výslovne stanovené vnútroštátnym zákonom, ale uverejňované ÖADR, umožňuje dosiahnuť sledované ciele. Ani cieľ odradenia, ani cieľ zabránenia obchádzaniu antidopingových pravidiel si totiž nevyžadujú, aby bolo porušenie opísané tak podrobne.

–

O nevyhnutnosti uverejnenia vzhľadom na sledované ciele

149.

V súlade s odôvodnením 39 GDPR overenie nevyhnutnosti predmetného spracúvania z hľadiska sledovaných cieľov znamená overiť, či neexistujú alternatívne opatrenia, ktoré by menej zasahovali do práv na rešpektovanie súkromného života a na ochranu osobných údajov zaručených v článkoch 7 a 8 Charty, ale boli by rovnako účinné na dosiahnutie uvádzaného cieľa. ( 93 )

150.

Po prvé, pokiaľ ide o cieľ odradenia, sprístupnenie mien dotknutých športovcov verejnosti sa mi nezdá byť absolútne nevyhnutné vo všetkých prípadoch.

151.

Iste, odradenie je o to účinnejšie, ak, najmä v prípade známeho športovca, sú sankcie spojené so zverejnením jeho mena. Osobitná zodpovednosť sa v tejto oblasti ukladá vrcholovým športovcom, ktorí majú určitú všeobecnú známosť, takže uverejnenie ich mien sa môže ukázať o to relevantnejšie vzhľadom na sledovaný cieľ.

152.

Pre profesionálnych športovcov, na ktorých sa nevzťahujú výnimky stanovené v ADBG, však vnútroštátna právna úprava stanovuje automatické menovité zverejnenie, ktorého rozsah je neobmedzený, keďže sa uverejňujú na internete, ( 94 ) a to bez ohľadu na osobitné okolnosti súvisiace s individuálnymi okolnosťami (známosť športovca, úroveň súťaže, recidíva, úmyselná povaha atď.). V tomto rozsahu zastávam názor, že tieto vnútroštátne ustanovenia môžu vzhľadom na svoju všeobecnú povahu ísť nad rámec toho, čo si vyžaduje predchádzanie dopingu prostredníctvom odradzovania.

153.

Po druhé, pokiaľ ide o cieľ zabrániť obchádzaniu zákazu spolupráce s osobou, ktorej bol uložený zákaz činnosti, vyplýva z neho otázka, o ktorého športovca ide. To spôsobuje, že je potrebné zverejniť meno osoby, ktorej bol uložený zákaz činnosti. V tejto súvislosti z návrhu na začatie prejudiciálneho konania vyplýva, že podľa § 1 ods. 2 bodu 8 ADBG môže byť porušením antidopingových pravidiel skutočnosť, že športovec má kontakt s členom realizačného tímu, na ktorého sa vzťahuje zákaz alebo sankcia.

154.

Vzhľadom na to sa domnievam, že neobmedzený rozsah uverejňovania, ktorý súvisí so sprístupnením na internete, ide nad rámec toho, čo je nevyhnutné. ( 95 )

155.

Zdá sa totiž, že tento cieľ zabrániť obchádzaniu pravidiel sa v zásade uplatňuje v športovom svete ( 96 ) a je zameraný na osoby zodpovedné za presadzovanie sankcií alebo osoby zodpovedné za športové organizácie alebo športové združenia. V tejto súvislosti sa zdá, že obmedzenejšie šírenie identity dotknutého športovca dosiahne cieľ účinným spôsobom a menej zasahuje do ochrany osobných údajov. Okrem toho NADA na pojednávaní vysvetlila, že v prípade niektorých kategórií športovcov nižšej úrovne je možné informovať o pozastavení činnosti prostredníctvom zväzov.

156.

Pokiaľ ide o hospodárske subjekty alebo zamestnávateľov mimo športového sveta, obmedzenejšie uverejňovanie by im určite neumožňovalo vedieť, že dotknutému športovcovi bol uložený zákaz činnosti a že im bolo zakázané spolupracovať s ním. Pokiaľ by sa však takejto neinformovanej osobe vytýkala spoluprácu s osobou, ktorej bol uložený zákaz činnosti (športovcom alebo inou osobou), domnievam sa, že pravidlá v oblasti dôkazného bremena by v tomto prípade umožnili overiť, či táto „spolupráca“ bola alebo nebolo úmyselná. ( 97 ) Naopak, uverejnenie zákazu činnosti, ktoré je spojené s menom dotknutej osoby, ktorej bol uložený zákaz činnosti na internete, podľa môjho názoru napokon vedie k tomu, že každý nesie zodpovednosť za overenie, či osobe, s ktorou uzavrie zmluvu, alebo s ňou spolupracuje, bol alebo nebol uložený zákaz činnosti Zdá sa mi, že toto všeobecné podozrenie vyplývajúce z online zverejnenia „športového registra“ ide nad rámec sledovaného cieľa.

157.

Dodávam, že voľba uverejňovania online zo strany NADA a ÖADR môže ďalej porušovať právo na súkromie, najmä vzhľadom na jeho dosah urbi et orbi. ( 98 ) Takýto názor zastáva aj pracovná skupina zriadená podľa článku 29, ktorá zdôrazňuje riziko využívania údajov na iné účely alebo ďalšieho spracúvania údajov zverejnených online, ktoré by mohli byť rušivejšie. ( 99 )

158.

Podľa môjho názoru by uverejnenie mien, avšak obmedzené na príslušné organizácie a športové zväzy, sprevádzané napríklad pseudonymizovaným uverejnením na internete, umožnilo dosiahnuť oba sledované ciele spôsobom, ktorý by menej zasahoval do ochrany osobných údajov a bol by viac v súlade so zásadou minimalizácie údajov.

159.

Dodávam, že tvrdenie NADA založené na porovnaní s uverejňovaním sankcií v rámci iných povolaní, ako sú advokáti alebo zdravotnícke povolania, ma nepresvedčilo. Ako totiž v tejto súvislosti uviedla holandská vláda, uverejňovanie mien advokátov alebo lekárov, ktorým bol uložený zákaz činnosti, sa zdá byť nevyhnutné, pretože každý môže byť osobou podliehajúcou súdnej právomoci alebo pacientom, zatiaľ čo v rámci dopingu stačí, aby meno dotknutého športovca bolo dotknutým športovým zväzom známe v športovom prostredí, s výnimkou osobitných prípadov, ktoré treba posúdiť v každom jednotlivom prípade.

160.

V dôsledku toho mám vážne pochybnosti o nevyhnutnosti predmetného spracúvania vzhľadom na sledované ciele.

–

O primeranosti „stricto sensu“, teda vyvážení dotknutých záujmov

161.

Na posúdenie primeranosti dotknutého spracúvania je potrebné pristúpiť k vyváženiu rôznych dotknutých práv, slobôd alebo záujmov. Cieľ všeobecného záujmu totiž nemožno sledovať bez zohľadnenia skutočnosti, že musí byť zosúladený s dotknutými základnými právami, čo v prejednávanej veci predpokladá vykonanie náležitého vyváženia cieľa všeobecného záujmu na jednej strane, a práv osoby, ktorej osobné údaje sa uverejňujú na druhej strane. ( 100 )

162.

Dodávam, že v rámci tejto analýzy treba zohľadniť odpovede, ktoré Súdny dvor poskytne na druhú prejudiciálnu otázku týkajúcu sa toho, či ide o údaje týkajúce sa zdravia v zmysle článku 9 GDPR, a piatu prejudiciálnu otázku súvisiacu s údajmi týkajúcimi sa uznaní za vinného zo spáchania trestných činov alebo priestupkov, na ktoré sa vzťahuje článok 10 GDPR. Dodržiavanie zásady „minimalizácie“ citlivých údajov v zmysle článku 9 nariadenia GDPR totiž nebráni tomu, aby boli osobné údaje uverejnené, ak je takéto uverejnenie nevyhnutné a primerané. ( 101 ) To isté platí aj v prípade, keď sa na predmetné údaje vzťahuje článok 10 nariadenia GDPR, pokiaľ právne predpisy povoľujúce toto oznámenie poskytujú primerané záruky pre práva a slobody dotknutých osôb. ( 102 ) Vzhľadom na to, pokiaľ ide o údaje, ktoré patria do pôsobnosti týchto dvoch ustanovení, sú pri vyvažovaní dotknutých záujmov mimoriadne dôležité záujmy dotknutých osôb. ( 103 )

163.

V prejednávanej veci predmetné spracúvanie, ktoré zahŕňa online uverejnenie identity dotknutého športovca, predstavuje významný zásah do základných práv na rešpektovanie súkromného života a na ochranu osobných údajov a môže vyvolať spoločenské odsúdenie a spôsobiť stigmatizáciu dotknutej osoby. To je napokon v tomto prípade zamýšľaný účinok „elektronického stĺpa hanby“.

164.

Závažnosť tohto zásahu tak musí byť vyvážená s významom cieľov sledovaných uverejnením.

165.

Poukazujem na to, že otázka vnútroštátneho súdu sa týka uverejňovania podľa ADBG, tak ako ho vykonávajú NADA a ÖADR, v prípade profesionálnych športovcov, na ktorých sa nevzťahujú stanovené výnimky (ktoré sa týkajú amatérskych športovcov, zraniteľných osôb a „oznamovateľov“). Uverejňovanie v ich prípade spočíva v menovitom uverejnení, ktoré je súčasne neobmedzené vo svojom rozsahu, keďže sa prostredníctvom internetu sprístupňuje verejnosti, v prípade doživotného zákazu činnosti neobmedzené, pokiaľ ide o jeho trvanie (čo sa týka jedného zo žalobcov vo veci samej), systematické a automatické, a z ADBG preňho nevyplýva žiadne individuálne posúdenie v závislosti od okolností.

166.

So všetkou obozretnosťou, ktorú si tento rozmer preskúmania primeranosti vždy vyžaduje, ( 104 ) mám tendenciu dospieť k záveru, že kombinácia týchto rôznych prvkov (menovitosť, neobmedzenosť, systematickosť a automatická povaha uverejňovania) môže za určitých okolností viesť k zásahu do práv dotknutých osôb na ochranu osobných údajov, ktorý nespĺňa požiadavky vyváženého posúdenia rôznych dotknutých záujmov.

167.

Napríklad v prípade sankcie dlhodobého ( 105 ) alebo dokonca doživotného zákazu činnosti málo známeho športovca, ktorého profesionálny športový život sa už pred určitým časom skončil, by bolo možné dospieť k záveru, že zákonné uverejnenie jeho osobných údajov by sa mohlo časom považovať za neprimerané vo vzťahu k sledovaným účelom.

168.

NADA tvrdí, že by sa nemalo rozlišovať podľa závažnosti alebo opakovania spáchaných porušení z dôvodu, že sa to zohľadňuje v štádiu udeľovania sankcie a nemá to vplyv na uverejnenie, ku ktorému musí dôjsť nezávisle od okolností. Ani toto tvrdenie ma nepresvedčilo. Uverejnenie totiž zodpovedá cieľom, ktoré, ak patria do rámca boja proti dopingu, sú špecifické a vyžadujú vyvažovanie dotknutých záujmov, ktoré umožňujú zohľadniť požiadavky GDPR, ktoré nie sú zohľadnené v štádiu ukladania antidopingovej sankcie.

169.

Preto zastávam názor, že taká povinnosť uverejňovania osobných údajov, aká vyplýva z ADBG a ktorú vykonávajú ÖADR a NADA, je prípustná len v rozsahu, v akom je vzhľadom na sledované ciele odradenia a zabránenia obchádzaniu antidopingových pravidiel primeraná, najmä pokiaľ ide o otázku rozsahu a doby trvania uverejnenia vzhľadom na konkrétne okolnosti dotknutej veci, čo prináleží overiť vnútroštátnemu súdu.

O okamihu vyvažovania

170.

Vnútroštátny súd sa pýta, či GDPR vyžaduje pred uverejnením vyváženie záujmov, ktoré má prevádzkovateľ vykonať v jednotlivých prípadoch, alebo či je dostatočné preskúmanie proporcionality stanovené zákonodarcom.

171.

V prejednávanej veci zákonodarca predpokladal vopred vymedzené situácie nezávisle od okolností každého jednotlivého prípadu, pričom sa odvolával na prvky uverejňovania a stanovil určité výnimky. Tým už ohraničil uverejňovanie a vykonal určité vyváženie záujmov športovcov, ktorých osobné údaje sú uverejňované na jednej strane, a záujmov súvisiacich s bojom proti dopingu na druhej strane.

172.

Poukazujem však na to, že dotknuté vnútroštátne antidopingové orgány (v tomto prípade NADA a ÖADR) sú ako prevádzkovatelia určení vnútroštátnym zákonodarcom podľa článku 5 ods. 2 GDPR naďalej zodpovedné za vykonávanie spracúvania a zodpovedné (accountable) za dodržiavanie zásad zákonnosti a proporcionality uvedeného spracúvania, ako aj za dodržiavanie zásady minimalizácie. Okrem toho musia byť schopné preukázať, že sa dodržiava odsek 1 tohto ustanovenia.

173.

Podľa článku 24 ods. 1 a článku 25 ods. 1 GDPR musia tiež prijať primerané technické a organizačné opatrenia (ako je pseudonymizácia) v čase určenia prostriedkov spracúvania aj v čase samotného spracúvania. Tieto opatrenia, ktoré sa musia preskúmať a v prípade potreby aktualizovať, sú určené na účinné vykonávanie zásad ochrany údajov a na zabezpečenie toho, aby spracúvanie sprevádzali záruky potrebné na splnenie požiadaviek GDPR a na ochranu práv dotknutej osoby. ( 106 )

174.

Okrem toho poukazujem na to, že v prejednávanej veci, hoci zákonodarca určil účely spracúvania a čiastočne aj prostriedky tohto spracúvania, sú to NADA a ÖADR, ktoré sa ako prevádzkovatelia poverení jeho vykonávaním rozhodli pre uverejnenie na internete, pričom ÖADR si tiež zvolila uverejnenie názvu prípadnej dotknutej zakázanej látky.

175.

V tomto kontexte sa mi zdá, že odpoveď na položenú otázku súvisí s obsahom a stupňom presnosti vnútroštátneho práva, ktoré sa uplatňuje, pokiaľ ide o prevádzkovateľa. Zdá sa mi, že skutočnosť, že vnútroštátny zákonodarca stanovil zásadu uverejňovania, nezbavuje prevádzkovateľa jeho zodpovednosti za dodržiavanie požiadaviek GDPR a ochranu práv dotknutých osôb. To môže znamenať, že pri uplatňovaní vnútroštátnej právnej úpravy zohľadní osobitné okolnosti veci. ( 107 ) Okrem toho poznamenávam, že toto vyváženie v každom jednotlivom prípade mu prináleží v prejednávanej veci, pokiaľ ide o uverejňovanie údajov týkajúcich sa športovcov, ktorým bol uložený zákaz činnosti, na ktorých sa vzťahujú výnimky uvedené v ADBG.

176.

Preto zastávam názor, že z vyššie uvedených ustanovení GDPR, hoci to vo všetkých prípadoch nevyžadujú, môže vyplývať, že prevádzkovateľ vykoná v každom jednotlivom prípade vyváženie dotknutých záujmov, najmä pri určovaní prostriedkov spracúvania, teda aj pred uverejnením. V tejto súvislosti možno zohľadniť skutočnosti týkajúce sa povahy, rozsahu, kontextu a účelov spracúvania, ako aj rizík pre práva a slobody uvedených osôb, ktorých stupeň pravdepodobnosti a závažnosti sa môžu líšiť.

177.

Ani tvrdenie, že takáto miera voľnej úvahy prevádzkovateľa môže viesť k diskriminácii medzi športovcami nachádzajúcimi sa v porovnateľných situáciách, ani riziko svojvôle, zneužitia, či dokonca korupcie, na ktoré poukazujú najmä Komisia a NADA, nemôžu odôvodniť upustenie od takéhoto vyvažovania v každom jednotlivom prípade, v ktorom sa majú spracúvať osobné údaje v súlade GDPR. Takéto vyváženie totiž môže zabrániť práve diskriminácii, ktorá by mohla vyplynúť z uplatnenia rovnakého zaobchádzania na rôzne situácie.

178.

Z uvedeného podľa môjho názoru vyplýva, že články 5 a 6 GDPR v spojení so všetkými povinnosťami a zodpovednosťou prevádzkovateľa sa majú vykladať v tom zmysle, že nebránia vyváženiu záujmov, ktoré má prevádzkovateľ pred týmto spracúvaním v každom jednotlivom prípade, alebo dokonca za určitých okolností v tom zmysle, že si vyžadujú takéto vyváženie, ak je potrebné na spracúvanie osobných údajov v súlade s GDPR.

Záver k tretej a štvrtej otázke

179.

Vzhľadom na vyššie uvedené navrhujem, aby Súdny dvor odpovedal na tretiu otázku tak, že článok 5 ods. 1 písm. a) a c) a článok 6 ods. 3 druhý pododsek GDPR sa majú vykladať v tom zmysle, že bránia povinnosti uloženej vnútroštátnym antidopingovým orgánom uverejňovať osobné údaje, ako sú mená športovcov sankcionovaných za porušenie antidopingových pravidiel, dĺžka trvania uloženého zákazu činnosti a jeho dôvody (najmä názov zakázanej látky), ak vzhľadom na konkrétne okolnosti prejednávanej veci požiadavka primeranosti nie je splnená, alebo prestala byť splnená, najmä pokiaľ ide o otázku rozsahu a doby uverejnenia, čo prináleží overiť vnútroštátnemu súdu.

180.

Pokiaľ ide o štvrtú otázku, navrhujem, aby Súdny dvor rozhodol, že články 5 a 6 GDPR v spojení so všetkými povinnosťami a zodpovednosťou prevádzkovateľa sa majú vykladať v tom zmysle, že vyžadujú, aby tento prevádzkovateľ pred spracúvaním údajov vykonal v každom jednotlivom prípade vyváženie dotknutých záujmov, ak je to potrebné na spracúvanie osobných údajov v súlade s GDPR.

O siedmej otázke

181.

Na pochopenie siedmej otázky je potrebné pripomenúť kontext, v ktorom vznikla. Žalobkyňa YT ešte predtým, ako boli jej osobné údaje uverejnené na internetových sídlach NADA a ÖADR, podala na rakúsky orgán na ochranu údajov sťažnosť na základe článku 17 GDPR, ktorý stanovuje právo na vymazanie. Tento posledný uvedený orgán zamietol sťažnosť YT, keďže predmetné údaje ešte neboli uverejnené. K uverejneniu uvedených údajov následne došlo v priebehu konania o opravnom prostriedku proti zamietnutiu jej sťažnosti rakúskym orgánom na ochranu údajov.

182.

Svojou siedmou prejudiciálnou otázkou sa vnútroštátny súd po prvé pýta, či je sťažnosť podaná podľa článku 77 GDPR týkajúca sa údajného porušenia práva na vymazanie (článok 17 GDPR) prípustná, ak sa spracúvanie osobných údajov dotknutej osoby ešte neuskutočnilo v čase podania jej sťažnosti dozornému orgánu a v čase, keď tento orgán prijal rozhodnutie.

183.

Po druhé sa pýta na prípustnosť takejto sťažnosti a posteriori, ak v čase podania sťažnosti už existovali konkrétne indície, že spracúvanie osobných údajov prevádzkovateľom sa blíži, alebo sa uskutoční v blízkej budúcnosti.

Je sťažnosť podaná dozornému orgánu pred spracúvaním údajov prípustná?

184.

Článok 77 ods. 1 GDPR stanovuje, že každá dotknutá osoba má právo podať sťažnosť dozornému orgánu, „ak sa domnieva, že spracúvanie osobných údajov, ktoré sa jej týka, je v rozpore s týmto nariadením“.

185.

V súlade s ustálenou judikatúrou Súdneho dvora pri výklade ustanovenia práva Únie zohľadním nielen jeho znenie, ale aj jeho kontext a ciele sledované právnou úpravou, ktorej je súčasťou. ( 108 )

186.

Po prvé znenie článku 77 GDPR nestanovuje lehotu na podanie sťažnosti týkajúcej sa spracúvania osobných údajov. V prípadoch, keď k spracúvaniu už došlo, a následne je napadnuté, platí, že čím skôr sa sťažnosť podá, tým skôr ju orgán môže preskúmať, a tým skôr je možné zabezpečiť ochranu dotknutej osoby. ( 109 ) Znenie článku 77 ods. 1 GDPR však neupravuje prípad, keď k spracúvaniu ešte nedošlo. V tejto súvislosti poukazujem na to, že toto ustanovenie používa výraz „je“ v prítomnom čase, čo – zdá sa – znamená, že k spracúvaniu už muselo dôjsť, ale prípad budúceho spracúvania nie je ako taký vylúčený. ( 110 )

187.

Po druhé, pokiaľ ide o kontext, je potrebné poukázať na úlohy a právomoci dozorných orgánov. V tejto súvislosti podľa článku 57 ods. 1 písm. f) GDPR každý dozorný orgán vybavuje sťažnosti podané akoukoľvek dotknutou osobou, vyšetruje v primeranom rozsahu podstatu sťažnosti a informuje sťažovateľa o pokroku a výsledkoch vyšetrovania v primeranej lehote. Dozorný orgán musí pristúpiť k vybaveniu takejto sťažnosti „so všetkou vyžadovanou náležitou starostlivosťou“ ( 111 ).

188.

Článok 58 ods. 1 GDPR navyše udeľuje na účely vybavovania podaných sťažností každému dozornému orgánu rozsiahle vyšetrovacie právomoci. Ak takýto orgán po skončení svojho prešetrovania konštatuje porušenie ustanovení tohto nariadenia, je povinný reagovať primeraným spôsobom, aby napravil zistený nedostatok. Na tento účel článok 58 ods. 2 RGPD uvádza rôzne nápravné právomoci, ktorými dozorný orgán disponuje, a v tomto ohľade má priestor na voľnú úvahu, pokiaľ ide o výber vhodných a potrebných prostriedkov. ( 112 ) Medzi právomocami dozorného orgánu stanovenými v článku 58 ods. 2 písm. a) smernice RGPD je aj možnosť „upozorniť“ prevádzkovateľa na skutočnosť, že „plánované“ spracovateľské operácie „pravdepodobne“ porušia GDPR, čo je súčasťou prístupu, ktorý možno označiť za „zabezpečovací“ vo vzťahu k právam dotknutej osoby. ( 113 )

189.

Cieľom všetkých týchto požiadaviek a právomocí dozorných orgánov je posilniť postup vybavovania sťažností, aby sa z neho stal mechanizmus schopný účinne chrániť práva a záujmy dotknutých osôb, teda „skutočný správny prostriedok nápravy“ ( 114 ).

190.

V súvislosti s kontextom tiež poukazujem na to, že ako zdôrazňuje Komisia, prevádzkovateľ musí splniť určité povinnosti, a najmä informovať dotknutú osobu pred začiatkom spracúvania. ( 115 )

191.

Zdá sa mi preto, že v kontexte GDPR nemožno a priori vylúčiť zabezpečovací alebo preventívny prístup zo strany dozorných orgánov pri vybavovaní sťažností.

192.

Po tretie tento výklad potvrdzujú ciele, ktoré toto nariadenie sleduje. Z jeho odôvodnenia 10 totiž vyplýva, že jeho cieľom je zabezpečiť vysokú úroveň ochrany fyzických osôb pri spracúvaní osobných údajov v rámci Únie. Odôvodnenie 11 tohto nariadenia okrem toho uvádza, že účinná ochrana týchto údajov si vyžaduje posilnenie práv dotknutých osôb.

193.

Obmedzenie povinnosti dozorných orgánov vybavovať sťažnosti podľa článku 57 ods. 1 písm. f) GDPR tým, že sa článok 77 ods. 1 tohto nariadenia vykladá tak, že vylučuje akúkoľvek možnosť podať sťažnosť dozornému orgánu „v očakávaní spracúvania“, by pritom mohlo byť v rozpore s cieľmi sledovanými uvedeným nariadením, najmä s cieľom zabezpečiť vysokú úroveň ochrany fyzických osôb pri spracúvaní osobných údajov v rámci Únie.

194.

Vzhľadom na všetky tieto úvahy teda zastávam názor, že nemožno vylúčiť, že sťažnosť podaná podľa článku 77 GDPR môže byť prípustná napriek tomu, že k spracúvaniu osobných údajov dotknutej osoby v čase podania jej sťažnosti dozornému orgánu ešte nedošlo.

195.

Rovnako ako Komisia a rakúska vláda sa však domnievam, že údajné porušenie GDPR musí mať takú povahu, že je v jeho prípade takýto postup vhodný a že dotknuté spracúvanie, ktorým je v prejednávanej veci zverejnenie osobných údajov, nemôže mať čisto hypotetickú povahu. ( 116 )

196.

V prejednávanej veci bola Súdnemu dvoru predložená žiadosť založená na článku 17 GDPR, ktorá sa týka sťažnosti s cieľom dosiahnuť vymazanie dotknutých údajov, pričom dotknutá žalobkyňa vo veci samej (YT) v tejto súvislosti spresnila, že k uverejneniu jej údajov malo „takmer určite dôjsť bezprostredne“.

197.

Sťažnosť týkajúca sa vymazania týchto údajov (ako napríklad žiadosť o opravu údajov) pritom predpokladá, že k predmetnému spracovaniu, v tomto prípade k uverejneniu údajov, už došlo. Zdá sa totiž nemožné, aby prevádzkovateľ vyhovel takejto sťažnosti a vymazal údaje, ak ešte neboli uverejnené, okrem prípadu, že by sa táto sťažnosť vykladala tak, že v skutočnosti smeruje k zabráneniu uverejnenia uvedených údajov ( 117 ) (a nie k ich vymazaniu), čo prináleží posúdiť vnútroštátnemu súdu.

198.

Dodávam, že takýto výklad nie je v rozpore s cieľmi zabezpečiť vysokú úroveň ochrany osobných údajov, keďže iné ustanovenia GDPR umožňujú reagovať na žiadosti týkajúce sa budúceho spracúvania. Ako totiž uvádza rakúska vláda, článok 79 ods. 1 GDPR týkajúci sa práva na účinný súdny prostriedok nápravy predpokladá vo vnútroštátnom práve existenciu procesných prostriedkov v prípade bezprostrednej hrozby nezákonného porušenia práv priznaných GDPR. To zahŕňa možnosť podľa rakúskeho práva podať preventívnu žalobu na zdržanie sa pred začatím spracúvania alebo v prípade, že spracúvanie už začalo, dokonca možnosť požiadať rakúsky orgán o preskúmanie obmedzenia tohto spracúvania na základe článku 18 GDPR.

199.

Preto zastávam názor, že nemožno vylúčiť, že sťažnosť podaná na základe článku 77 GDPR môže byť prípustná napriek tomu, že k spracúvaniu osobných údajov dotknutej osoby ešte nedošlo v čase podania jej sťažnosti dozornému orgánu, ak má povahu, ktorá nie je čisto hypotetická. Za okolností sporu vo veci samej však sťažnosť založená na práve na vymazanie stanovenom v článku 17 GDPR nie je prípustná, keďže sa týka spracúvania (v tomto prípade uverejnenia osobných údajov dotknutej osoby), ktoré, hoci bezprostredne hrozí, neexistovalo ani v čase, keď táto osoba podala sťažnosť dozornému orgánu, ani v čase prijatia rozhodnutia tohto dozorného orgánu.

Je sťažnosť podaná dozornému orgánu prípustná „a posteriori“?

200.

Poznamenávam, že táto otázka sa týka výkladu článku 77 GDPR týkajúceho sa práva podať sťažnosť dozornému orgánu. Zdá sa teda, že vnútroštátny súd sa pýta, či by takáto sťažnosť, ktorá bola vyhlásená za neprípustnú, mohla byť a posteriori prípustná pred dozorným orgánom, ak dôjde k predmetnému spracúvaniu (v tomto prípade k sprístupneniu údajov), zatiaľ čo na odvolacom súde prebieha konanie o opravnom prostriedku podanom proti rozhodnutiu tohto dozorného orgánu. Zdá sa mi, že v tejto súvislosti prináleží vnútroštátnemu právnemu poriadku, aby upravil otázku, či by odvolací súd mohol alebo dokonca mal v takejto situácii vrátiť otázku dozornému orgánu na opätovné preskúmanie s ohľadom na nové skutkové okolnosti, či prináleží dotknutej osobe, aby opätovne podala sťažnosť, alebo či odvolací súd môže sám rozhodnúť o situácii, ktorá mu bola predložená, vzhľadom na nové skutkové okolnosti, ktoré v prejednávanej veci spočívajú v uverejnení údajov. V tejto súvislosti treba zabezpečiť, aby bola zabezpečená účinnosť ochrany práv zaručených GDPR a koherentné a jednotné uplatňovanie jeho ustanovení.

201.

Pokiaľ sa má otázka položená vnútroštátnym súdom chápať tak – ako ju chápe rakúska vláda –, že ide o otázku týkajúcu sa prípustnosti takejto sťažnosti pred súdom, ktorý rozhoduje o odvolaní, v tomto prípade ide o preskúmanie dôsledkov účinkov spojených so zmenou skutkového stavu, konkrétne so spracúvaním spočívajúcim v uverejnení osobných údajov, ku ktorej došlo po vydaní rozhodnutia dozorného orgánu a v čase, keď prebieha konanie o súdnom prostriedku nápravy podanom proti tomuto rozhodnutiu na základe článku 78 RGPD, v prípade, keď v čase podania sťažnosti existovali konkrétne nepriame dôkazy o tom, že k spracúvaniu osobných údajov prevádzkovateľom dôjde bezprostredne, alebo sa uskutoční v blízkej budúcnosti.

202.

Treba pripomenúť, že normotvorca Únie v rámci GDPR ponúkol rôzne prostriedky nápravy osobám, ktoré poukazujú na porušenie tohto nariadenia, pričom každý z týchto opravných prostriedkov musí byť možné uplatniť „bez toho, aby boli dotknuté“ ostatné. ( 118 )

203.

Článok 78 ods. 1 GDPR tak stanovuje, že bez toho, aby boli dotknuté akékoľvek iné správne alebo mimosúdne prostriedky nápravy, každá fyzická alebo právnická osoba má právo na účinný súdny prostriedok nápravy voči právne záväznému rozhodnutiu dozorného orgánu, ktoré sa jej týka. Z toho vyplýva, že súdy, na ktoré bol podaný prostriedok nápravy proti rozhodnutiu dozorného orgánu, by mali mať plnú rozhodovaciu právomoc, a najmä právomoc preskúmať všetky skutkové a právne otázky týkajúce sa sporu, o ktorom rozhodujú. ( 119 ) Súdne preskúmanie, vykonávané v prípade rozhodnutia o sťažnosti, prijatého dozorným orgánom, je teda úplné, aby mohlo byť „účinné“, ako to vyžaduje toto ustanovenie. ( 120 ) Okrem toho článok 79 ods. 1 tohto nariadenia zaručuje každej osobe „bez toho, aby bol dotknutý akýkoľvek dostupný správny alebo mimosúdny prostriedok nápravy vrátane práva na podanie sťažnosti dozornému orgánu podľa článku 77“, právo na účinný súdny prostriedok nápravy.

204.

Je pravda, že už bolo konštatované, že prijatím GDPR normotvorca Únie nemal v úmysle vykonať úplnú harmonizáciu prostriedkov nápravy, dostupných v prípade porušenia ustanovení GDPR, stanovených v článkoch 77 až 79 tohto nariadenia. ( 121 ) Konkrétne pre prípad, keď sa v rámci toho istého členského štátu podá jednak sťažnosť pred dozorný orgán a jednak súdny prostriedok nápravy v súvislosti s tým istým spracúvaním osobných údajov, GDPR nestanovuje osobitné ustanovenia.

205.

Hoci však normotvorca Únie nemal v úmysle vykonať v tejto súvislosti úplnú harmonizáciu, nechcel vylúčiť možnosť uvedenú v otázke vnútroštátneho súdu, a to umožniť a posteriori prípustnosť sťažnosti podanej za okolností, o aké ide v spore vo veci samej.

206.

V prípade neexistencie právnej úpravy v danej oblasti na úrovni Únie teda každému členskému štátu na základe zásady procesnej autonómie členských štátov prináleží upraviť náležitosti správnych konaní a náležitosti súdnych konaní na účely zabezpečenia ochrany práv, ktoré osobám podliehajúcim súdnej právomoci vyplývajú z práva Únie. V tomto kontexte vnútroštátnemu súdu prináleží dbať na to, aby bola zabezpečená účinnosť ochrany práv zaručených GDPR, koherentné a jednotné uplatňovanie ustanovení tohto nariadenia, ako aj právo na účinný prostriedok nápravy pred súdom uvedené v článku 47 Charty. ( 122 )

207.

Preto prináleží vnútroštátnemu súdu, aby na základe vnútroštátnych procesných ustanovení určil, ako sa majú tieto prostriedky nápravy stanovené vnútroštátnou právnou úpravou uplatniť v takom prípade, o aký ide vo veci samej. V tejto súvislosti musí tento súd zabezpečiť, aby konkrétne podmienky uplatnenia opravných prostriedkov neprimerane nezasahovali do práva na účinný prostriedok nápravy pred súdom. Musí tiež dbať na to, aby bola zabezpečená účinnosť ochrany práv zaručených GDPR a aby tieto podmienky boli v súlade so zásadami efektivity a ekvivalencie. ( 123 )

208.

Vzhľadom na to, že vnútroštátny súd nespresnil možnosti, ktoré ponúka jeho vnútroštátne právo, sa teda podľa môjho názoru treba domnievať, že článok 77 ods. 1 GDPR, posudzovaný z hľadiska článku 78 ods. 1 tohto nariadenia, sa má vykladať v tom zmysle, že nebráni prípustnosti sťažnosti, ktorú dozorný orgán predtým zamietol ako neprípustnú, ak k spracúvaniu údajov došlo v čase, keď súd prejednáva súdny prostriedok nápravy týkajúci sa tých istých skutočností. Vnútroštátnemu právnemu poriadku prináleží, aby pri dodržaní zásad ekvivalencie a efektivity upravil podmienky takejto prípustnosti tak pred dozorným orgánom, ako aj pred súdom tak, aby bola zabezpečená účinnosť ochrany práv zaručených GDPR, koherentné a jednotné uplatňovanie jeho ustanovení, ako aj právo na účinný prostriedok nápravy pred súdom.

Záver k siedmej otázke

209.

Vzhľadom na všetky predchádzajúce úvahy navrhujem, aby Súdny dvor odpovedal na siedmu otázku tak, že článok 77 GDPR sa má vykladať v tom zmysle, že sťažnosť založená na článku 17 tohto nariadenia (údajné porušenie práva na vymazanie) je neprípustná, pokiaľ sa týka spracúvania spočívajúceho v uverejnení osobných údajov dotknutej osoby, ku ktorému síce má dôjsť bezprostredne, ale ešte k nemu nedošlo ani v čase podania sťažnosti touto osobou dozornému orgánu, ani v čase prijatia rozhodnutia tohto orgánu, avšak bez toho, aby bola dotknutá prípadná prípustnosť sťažnosti týkajúcej sa spracúvania osobných údajov, ktoré nie je čisto hypotetické a ktoré má takú povahu, že v jeho prípade je vydanie preventívneho alebo zabezpečovacieho opatrenia dozorného orgánu vhodné.

210.

Okrem toho článok 77 GDPR, preskúmaný z hľadiska článku 78 ods. 1 tohto nariadenia, nebráni prípustnosti sťažnosti, ktorú dozorný orgán predtým zamietol ako neprípustnú, ak k spracúvaniu údajov dôjde v čase, keď na súde prebieha konanie o súdnom prostriedku nápravy týkajúcom sa tých istých skutočností. Vnútroštátnemu právnemu poriadku prináleží, aby pri dodržaní zásad ekvivalencie a efektivity upravil podmienky takejto prípustnosti tak pred dozorným orgánom, ako aj pred súdom tak, aby bola zabezpečená účinnosť ochrany práv zaručených GDPR, koherentné a jednotné uplatňovanie jeho ustanovení, ako aj právo na účinný prostriedok nápravy pred súdom.

Návrh

211.

Vzhľadom na všetky predchádzajúce úvahy navrhujem Súdnemu dvoru, aby na prejudiciálne otázky, ktoré položil Bundesverwaltungsgericht (Spolkový správny súd, Rakúsko), odpovedal takto:

–

sťažnosť založená na článku 17 tohto nariadenia (údajné porušenie práva na vymazanie) je neprípustná, pokiaľ sa týka spracúvania spočívajúceho v uverejnení osobných údajov dotknutej osoby, ku ktorému síce má dôjsť bezprostredne, ale ešte k nemu nedošlo ani v čase podania sťažnosti touto osobou dozornému orgánu, ani v čase prijatia rozhodnutia tohto orgánu, avšak bez toho, aby bola dotknutá prípadná prípustnosť sťažnosti týkajúcej sa spracúvania osobných údajov, ktoré nie je čisto hypotetické a ktoré má takú povahu, že v jeho prípade je vydanie preventívneho alebo zabezpečovacie opatrenia dozorného orgánu vhodné,

–

preskúmaný z hľadiska článku 78 ods. 1 nariadenia 2016/679 nebráni prípustnosti sťažnosti, ktorú dozorný orgán predtým zamietol ako neprípustnú, ak k spracúvaniu údajov dôjde v čase, keď na súde prebieha konanie o súdnom prostriedku nápravy týkajúcom sa tých istých skutočností. Vnútroštátnemu právnemu poriadku prináleží, aby pri dodržaní zásad ekvivalencie a efektivity upravil podmienky takejto prípustnosti tak pred dozorným orgánom, ako aj pred súdom tak, aby bola zabezpečená účinnosť ochrany práv zaručených nariadením 2016/679, koherentné a jednotné uplatňovanie jeho ustanovení, ako aj právo na účinný prostriedok nápravy pred súdom.