I.

Inledning

1.

Idrottsreglerna befinner sig i gränslandet mellan flera rättskällor. Om detta vittnar antidopningsbestämmelserna, vilka är frukten av ett privaträttsligt och offentligrättsligt normativt samarbete. I synnerhet är de internationella antidopningsreglerna, som antagits enligt Internationella antidopningsbyråns stadgar, ett privat instrument som de undertecknande staterna har åtagit sig att respektera genom Förenta Nationernas internationella konvention mot dopning inom idrotten. ( 2 ) Dessa bestämmelser, som är avsedda att harmonisera den politik samt de regler och förordningar mot dopning som har inrättats av idrottsorganisationer och offentliga myndigheter över hela världen, utgör således ett sektorspecifikt gränsöverskridande rättssystem. ( 3 )

2.

Domstolen har redan haft tillfälle att uttala sig om huruvida idrottsrelaterade förordningar var förenliga med unionsrätten, bland annat utifrån ett perspektiv rörande friheten att tillhandahålla tjänster respektive avseende konkurrens. ( 4 )

3.

Förevarande mål bereder domstolen tillfälle att, för första gången, ( 5 ) behandla vissa aspekter av antidopningsregleringen mot bakgrund av de krav som hör samman med skyddet av personuppgifter. Det rör sig om att förena, å ena sidan, kravet på att idrotten ska vara etisk, vilket i förevarande fall uttrycks genom offentliggörandet av namn på internet, påföljder som åläggs idrottare när de begår överträdelser av antidopningsregler och, å andra sidan, skyddet av dessa idrottares personuppgifter enligt förordning (EU) 2016/679 (nedan kallad dataskyddsförordningen). ( 6 )

4.

Vid en tidpunkt då de internationella antidopningsreglerna är under omarbetning, ( 7 ) kan räckvidden för den kommande domen komma är gå utöver unionens gränser.

II.

Tillämpliga bestämmelser

A.

Unionsrätt

5.

I artikel 16.1 FEUF föreskrivs att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. I artikel 16.2 anges följande: ”Europaparlamentet och rådet ska i enlighet med det ordinarie lagstiftningsförfarandet fastställa bestämmelser om skydd för enskilda personer när det gäller behandling av personuppgifter hos unionens institutioner, organ och byråer och i medlemsstaterna, när dessa utövar verksamhet som omfattas av unionsrättens tillämpningsområde, samt om den fria rörligheten för sådana uppgifter. Oberoende myndigheter ska kontrollera att dessa bestämmelser följs.”

6.

I artikel 165.2 FEUF föreskrivs att målen för unionens insatser bland annat ska vara att ”utveckla idrottens europeiska dimension genom att främja rättvisa och öppenhet i idrottstävlingar och samarbetet mellan organisationer och myndigheter med ansvar för idrott samt genom att skydda idrottsutövarnas fysiska och moraliska integritet, särskilt när det gäller de yngsta utövarna”. I detta syfte föreskrivs i artikel 165.4 att ”rådet på förslag av kommissionen [ska] anta rekommendationer”.

7.

I skäl 35 i dataskyddsförordningen föreskrivs att ”[l] Personuppgifter om hälsa bör innefatta alla de uppgifter som hänför sig till en registrerad persons hälsotillstånd som ger information om den registrerades tidigare, nuvarande eller framtida fysiska eller psykiska hälsotillstånd. Detta inbegriper uppgifter om den fysiska personen som insamlats i samband med registrering för eller tillhandahållande av hälso- och sjukvårdstjänster till den fysiska personen …, ett nummer, en symbol eller ett kännetecken som den fysiska personen tilldelats för att identifiera denne för hälso- och sjukvårdsändamål, uppgifter som härrör från tester eller undersökning av en kroppsdel eller kroppssubstans, däribland genetiska uppgifter och biologiska prov, och andra uppgifter om exempelvis sjukdom, funktionshinder, sjukdomsrisk, sjukdomshistoria, klinisk behandling eller den registrerades fysiologiska eller biomedicinska tillstånd, oberoende av källan, exempelvis från en läkare eller från annan sjukvårdspersonal, ett sjukhus, en medicinteknisk produkt eller ett diagnostiskt in vitro-test.”

8.

I artikel 2 i dataskyddsförordningen, som har rubriken ”Materiellt tillämpningsområde”, föreskrivs i punkt 1 att ”[d]enna förordning ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register”. Av artikel 2.2 a i dataskyddsförordningen följer att denna förordning inte ska tillämpas på behandling av personuppgifter ”som utgör ett led i en verksamhet som inte omfattas av unionsrätten”.

9.

Artikel 4 i dataskyddsförordningen, som har rubriken ”Definitioner”, föreskriver i punkt 15 att i denna förordning avses med ”uppgifter om hälsa: personuppgifter som rör en fysisk persons fysiska eller psykiska hälsa, inbegripet tillhandahållande av hälso- och sjukvårdstjänster, vilka ger information om dennes hälsostatus”.

10.

I artikel 5 i denna förordning, som har rubriken ”Principer för behandling av personuppgifter”, föreskrivs följande:

11.

I artikel 6 i denna förordning, som har rubriken ”Laglig behandling av personuppgifter”, föreskrivs följande:

12.

Artikel 9.1 i dataskyddsförordningen, som har rubriken ”Behandling av särskilda kategorier av personuppgifter”, förbjuder bland annat personuppgifter om hälsa. Av artikel 9.2 g i samma förordning följer att artikel 9.1 inte är tillämplig om ”[b]ehandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen”.

13.

I artikel 10 i dataskyddsförordningen, som har rubriken ”Behandling av personuppgifter som rör fällande domar i brottmål samt överträdelser”, föreskrivs följande: ”Behandling av personuppgifter som rör fällande domar i brottmål och överträdelser … får endast utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet.”

14.

Artikel 77 i dataskyddsförordningen har rubriken ”Rätt att lämna in klagomål till en tillsynsmyndighet”. I artikel 77.1 föreskrivs följande:

15.

Artikel 78.1 i dataskyddsförordningen har rubriken ”Rätt till ett effektivt rättsmedel mot tillsynsmyndighetens beslut”. I artikel 78.1 föreskrivs följande:

B.

Österrikisk rätt

16.

Av 5 §. Punkt 5) i Anti-Doping-Bundesgesetz 2021 (2021 års federala lag om antidopning) av den 23 december 2020 (BGBl. I, 152/2020) (nedan kallad antidopningslagen) följer att Nationale Anti Doping Agentur Austria GmbH (oberoende dopningskontrollorgan, Österrike) (nedan kallat NADA) är ett allmännyttigt bolag med begränsat ansvar som utövar funktioner som oberoende dopningskontrollorgan och är ansvarigt för behandlingen av personuppgifter.

17.

Enligt artikel 5 §. Punkt 6 led 4 i antidopningslagen ska NADA lämna viss information till Bundes-Sportorganisation (det federala idrottsförbundet), idrottsorganisationer, idrottare, andra personer och tävlingsarrangörer samt tillhandahålla denna information till allmänheten utan kostnad. Bland annat ska information lämnas om ”de säkerhetsåtgärder (till exempel avstängning) och förbud vad avser idrottare och andra personer som har kommit till [dess] kännedom och hävande av dessa avstängningar med uppgift om de registrerades namn, längden på och skälen för avstängningen, dock utan att det kan dras några slutsatser om särskilda kategorier av personuppgifter, särskilt de registrerades hälsouppgifter. En underrättelse behöver inte lämnas beträffande särskilt utsatta personer och motionärer …”

18.

I 6 § punkt 2 i antidopningslagen föreskrivs bland annat att det oberoende dopningskontrollorganet enligt artiklarna 32–34 i dataskyddsförordningen ska sörja för säkerhet för personuppgifterna och för de särskilda kategorierna av personuppgifter. Att behandlingen av personuppgifter ”är nödvändig följer, enligt denna bestämmelse, av ett effektivt genomförande av antidopningsreglerna i [WADC] och av bestämmelserna i denna federala lag, i den mån de registrerade har åtagit sig genom avtal att iaktta WADC”. Vidare får ”[s]ärskilda kategorier av personuppgifter, särskilt uppgifter om hälsa, endast behandlas om det är absolut nödvändigt enligt antidopningsreglerna i denna federala lag eller i WADC”.

19.

Den Österreichische Anti-Doping Rechtskommission (den oberoende österrikiska antidopningskommissionen) (nedan kallad ÖADR) är en nämnd som är oberoende i förhållande till statliga organ, enskilda personer och det oberoende dopningskontrollorganet. Enligt 7 § 1 i antidopningslagen ska den ”genomföra disciplinära förfaranden för det behöriga federala idrottsförbundet i enlighet med det behöriga internationella idrottsförbundets gällande antidopningsregler (antidopningsförfaranden)”.

20.

Enligt 21 § punkt 3 i antidopninglagen ska ÖADR ”senast 20 dagar efter det att beslutet vunnit laga kraft underrätta Bundes-Sportorganisation (det federala idrottsförbundet), idrottsorganisationer, idrottare, idrottsledare och tävlingsarrangörer samt allmänheten om vidtagna säkerhetsåtgärder (till exempel avstängning) och om beslut som fattats i samband med antidopningsförfaranden och därvid ange den berörda personens namn, längden på och skälen för avstängningen, dock utan att det kan dras några slutsatser om denna persons hälsouppgifter. En sådan underrättelse behöver inte lämnas beträffande särskilt utsatta personer, motionärer samt personer som bidragit avsevärt till att potentiella förseelser mot antidopningsregler upptäcks genom att lämna information eller andra uppgifter. En underrättelse ska av folkhälsoskäl lämnas beträffande motionärer om en förseelse mot antidopningsreglerna i 1 § punkt 2 leden 3 och 9–11 har konstaterats.”

21.

Av 23 § punkt 14 i antidopningslagen följer i huvudsak att samma skyldigheter ska åligga Unabhängige Schiedskommission (oberoende skiljenämnden, Österrike) (nedan kallad USK).

Målet vid den nationella domstolen, tolkningsfrågorna och förfarandet vid domstolen

22.

Idrottarna AR, YT, DI och RN (nedan kallade klagandena) har stängts av (för en viss period respektive på livstid) genom beslut av ÖADR, som har behörighet att genomföra antidopningsförfaranden, respektive av USK, som har behörighet att ompröva ÖADR:s avgöranden.

23.

Enligt österrikisk lagstiftning på antidopningsområdet ska avstängningar som har beslutats av ÖADR eller USK offentliggöras av det NADA, i form av en förteckning på dess webbplats. Under avstängningsperioden ska denna förteckning omfatta den berörda idrottarens förnamn och efternamn, idrottsgren, förseelse mot antidopningsreglerna, bestraffningen samt bestraffningens början och slut. ÖADR ska även offentliggöra dessa uppgifter, samt den eventuellt berörda förbjudna substansen, genom ett pressmeddelande på sin egen webbplats.

24.

Klagandena uppmanade, den 14 respektive den 15 oktober 2021, ÖADR och NADA att inte längre hålla deras namn och idrottsgren tillgängliga på internet. ÖADR och NADA hörsammade inte uppmaningen.

25.

Den 22 oktober 2021 lämnade klagandena in ett klagomål enligt artikel 77.1 i dataskyddsförordningen till Österreichische Datenschutzbehörde (den österrikiska dataskyddsmyndigheten) och begärde fastställelse av att ÖADR och NADA hade åsidosatt rätten till radering och begränsning av behandling av uppgifterna. Klagandena begärde vidare att ÖADR och NADA skulle åläggas att radera deras namn och idrottsgrenar från dessa webbplatser. De gjorde även gällande att det rörde sig om en särskild kategori av personuppgifter och att det var fråga om behandling av personuppgifter som rörde fällande domar i brottmål samt förseelser, i den mening som avses i artiklarna 9 och 10 i dataskyddsförordningen. Den odifferentierade utformningen av rätten till offentliggörande som föreskrivs i den österrikiska lagstiftningen strider mot artikel 6.3 i dataskyddsförordningen och är varken nödvändig eller proportionerlig.

26.

Den 26 november 2021 avslog den österrikiska dataskyddsmyndigheten detta klagomål. Beträffande YT avslogs klagomålet med motiveringen att han saknade talerätt, på grund av att hans uppgifter ännu inte hade offentliggjorts.

27.

Klagandena väckte då talan vid Bundesverwaltungsgericht (Federala förvaltningsdomstolen, Österrike), som är den hänskjutande domstolen. Talan väcktes enligt artikel 78.1 i dataskyddsförordningen. NADA, som är den första motparten i det nationella målet, anförde att offentliggörandet av personuppgifterna på dess webbplats var nödvändigt för att fullgöra en rättslig förpliktelse som åvilade detta organ och för att utföra en uppgift av allmänt intresse i den mening som avses i artikel 6.1 c och e i dataskyddsförordningen.

28.

Den hänskjutande domstolen vilandeförklarade det nationella målet, på grund av att USK gav in en begäran om förhandsavgörande i målet NADA m.fl. ( 8 ) Efter att denna begäran om förhandsavgörande avvisades genom dom av den 7 maj 2024, ( 9 ) återupptogs det nationella målet vid den hänskjutande domstolen.

29.

Mot denna bakgrund har Bundesverwaltungsgericht (Federala förvaltningsdomstolen) beslutat att vilandeförklara målet och ställa följande tolkningsfrågor till domstolen:

30.

Skriftliga yttranden har getts in av klagandena i det nationella målet, NADA, den österrikiska dataskyddsmyndigheten, kommissionen, samt den österrikiska, den lettiska, den nederländska, den polska och den finska regeringen. Klagandena i det nationella målet, NADA, kommissionen, samt den österrikiska, den lettiska och den finska regeringen yttrade sig även vid den offentliga förhandlingen den 13 maj 2025.

III.

Rättslig bedömning

31.

Efter att ha prövat den första tolkningsfrågan om huruvida dataskyddsförordningen är tillämplig, kommer jag att analysera den andra, den femte och den sjätte tolkningsfrågan som rör vissa särskilda uppgifter. Därefter kommer jag att behandla frågan gällande proportionalitetsprincipen (den tredje och den fjärde tolkningsfrågan). Slutligen kommer jag att pröva den sjunde tolkningsfrågan, vilken är mer processrättslig.

A.

Den första tolkningsfrågan

32.

Den hänskjutande domstolen har, genom sin första tolkningsfråga, i huvudsak önskat få klarhet i huruvida genomförandet av antidopningslagstiftningen utgör en ”verksamhet” som omfattas av ”unionsrättens tillämpningsområde” i den mening som avses i artikel 16.2 första meningen FEUF.

33.

Svaret på denna fråga har stor betydelse, eftersom dataskyddsförordningen, om svaret är nekande, inte är tillämplig i det nationella målet. Dataskyddsförordningen, som antogs på grundval av artikel 16 FEUF, utesluter nämligen, genom sin artikel 2.2 a, från sitt tillämpningsområde behandling av personuppgifter som utgör ett led i en verksamhet ”som inte omfattas av unionsrätten”.

34.

Inledningsvis bör det, även om den hänskjutande domstolen inte har nämnt detta, erinras om att det undantag som anges i artikel 2.2 d i dataskyddförordningen föreskriver att denna förordning inte ska tillämpas på behandling av personuppgifter ”behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder …”. Detta undantag förklaras av att behandling av personuppgifter i sådana syften av ”behöriga myndigheter” regleras i en särskild unionsrättsakt, nämligen direktiv (EU) 2016/680, ( 10 ) som antogs samma dag som dataskyddsförordningen. Det är, i detta skede, inte uteslutet att det materiella kriteriet för detta undantag kan vara uppfyllt i förevarande mål. Frågan om huruvida den i målet aktuella behandlingen av uppgifterna har utförts i de syften som avses i artikel 2.2 d i dataskyddsförordningen hör samman med föremålet för den femte tolkningsfrågan (avseende artikel 10 i dataskyddsförordningen), beträffande huruvida de fällande domar och överträdelser som är föremål för den aktuella behandlingen av uppgifterna är av straffrättslig karaktär. Det organiska kriteriet för det undantag som avses i artikel 2.2 d i dataskyddsförordningen har emellertid inte tagits upp. Är NADA och ÖADR ”behöriga myndigheter” i den mening som avses i artikel 3.7 i direktiv 2016/680? Om svaret är nekande ska dataskyddsförordningen tillämpas, vilket är den hypotes som jag utgår från i fortsättningen av bedömningen. Om svaret däremot är jakande och för det fall även det materiella kriteriet är uppfyllt, så uppkommer frågan om direktiv 2016/680 ska tillämpas i stället för dataskyddsförordningen, vilket det ankommer på den hänskjutande domstolen att undersöka.

35.

Efter denna anmärkning, vill jag påpeka att det, i förevarande mål, inte har bestritts att behandlingen av de aktuella personuppgifterna, som utförts av de österrikiska antidopningsmyndigheterna och utgörs av ett offentliggörande på internet av de berörda idrottarnas namn, idrottsgren, de förseelse på antidopningsreglerna, den utdömda bestraffningen samt bestraffningens början och slut, motsvarar de behandlingar på vilka dataskyddsförordningen är tillämplig enligt dess artikel 2.1, det vill säga sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg. ( 11 )

36.

Den mer kontroversiella fråga som uppkommer är huruvida denna behandling omfattas av det undantag som föreskrivs i artikel 2.2 a i dataskyddsförordningen.

37.

Jag kommer i min bedömning inledningsvis att erinra om principen om en restriktiv tolkning av undantaget i artikel 2.2 a i dataskyddsförordningen. Därefter kommer jag därav att dra slutsatser beträffande antidopningsverksamheten mot bakgrund av NADA:s argument.

Restriktiv tolkning av undantaget i artikel 2.2 a i dataskyddsförordningen

38.

Enligt fast rättspraxis ska undantaget i artikel 2.2 a i dataskyddsförordningen tolkas restriktivt, då det har till syfte att från förordningens tillämpningsområde undanta behandling av personuppgifter och således avviker från förordningens mål avseende skydd. ( 12 )

39.

Såsom i huvudsak anges i skälen 6–12 i dataskyddsförordningen, kräver den snabba tekniska utvecklingen, globaliseringen och omfattningen av insamling och delning av personuppgifter en stark och sammanhängande ram för dataskyddet inom unionen. Denna ram ska säkerställa en hög skyddsnivå för fysiska personers rättigheter och friheter vid behandling av dessa uppgifter, som ska vara likvärdig i alla medlemsstater. Denna ram ska vara uppbackad av kraftfullt tillsynsarbete, för att skapa den tillit som behövs för att utveckla den digitala ekonomin över hela den inre marknaden.

40.

Dataskyddförordningens materiella tillämpningsområde, som fastställs i artikel 2, är i detta syfte nödvändigtvis brett och de undantag som det föreskriver ska tolkas restriktivt. Domstolen har således slagit fast att artikel 2.2 a i dataskyddsförordningen, jämförd med skäl 16 i förordningen, ska anses ha som enda syfte att från förordningens tillämpningsområde undanta behandling av personuppgifter som statliga myndigheter utför som ett led i en verksamhet som syftar till att upprätthålla nationell säkerhet eller en verksamhet som kan placeras i samma kategori.

41.

Verksamhet som syftar till att upprätthålla den nationella säkerheten i den mening som avses i artikel 2.2 a i dataskyddsförordningen omfattar, i synnerhet, verksamhet som syftar till att skydda statens grundfunktioner och samhällets grundläggande intressen. ( 13 )

42.

Det är däremot inte personerna som sådana som undantas från tillämpningen av dataskyddsförordningen, utan endast vissa av deras verksamheter. ( 14 ) Den omständigheten att en verksamhet endast kan bedrivas av staten eller av en myndighet räcker nämligen inte för att detta undantag automatiskt ska vara tillämpligt på en sådan verksamhet. ( 15 ) Det räcker inte heller att den som utför den aktuella behandlingen har som verksamhet att värna nationell säkerhet, eftersom det endast är den verksamhet som den aktuella behandlingen gäller som är relevant. ( 16 ) Inte heller är det tillräckligt att vid en överföring av uppgifter i kommersiellt syfte från en medlemsstat till ett tredjeland, dessa uppgifter, under eller efter denna överföring, kan komma att behandlas av myndigheterna i det berörda tredjelandet med hänsyn till allmän säkerhet, försvar och nationell säkerhet. ( 17 )

43.

Som Österrikes regering har påpekat i förevarande mål, föreskrivs emellertid i 1 § punkt 1 i antidopningslagen att ”dopning, på grund av att den påverkar idrottskapaciteten, strider mot principen om rättvisa i idrottstävlingar och mot idrottens faktiska inneboende värden (sportsmannaandan), samt medför i synnerhet hälsorisker”.

44.

Det kan således inte med framgång hävdas att NADA:s och ÖADR:s offentliggöranden av personuppgifter utgör en behandling av uppgifter inom ramen för en verksamhet, i förevarande fall bekämpning av dopning, som avser den nationella säkerheten eller som kan anses omfattas av denna kategori enligt artikel 2.2 a i dataskyddsförordningen.

45.

Av detta följer att det undantag som grundar sig på denna bestämmelse i dataskyddsförordningen inte är tillämpligt på den i förevarande mål aktuella behandlingen av uppgifter.

46.

NADA:s argument, som dels grundar sig på att antidopningsverksamheten ankommer på medlemsstaterna, dels på att denna verksamhet inte är av ekonomisk karaktär, kan inte påverka detta konstaterande, såsom jag kommer att se till att visa nedan.

”Antidopningsverksamhet” faller inte utanför dataskyddsförordningen

–

… även om den ankommer på medlemsstaterna

47.

För det första har NADA gjort gällande att antidopningspolitiken är ett område som, enligt den behörighetsfördelning som föreskrivs i unionsrätten ankommer på medlemsstaterna, trots den stödjande befogenhet som unionen har på idrottsområdet enligt artikel 165 FEUF.

48.

Den omständigheten att behandlingen av personuppgifter utförs inom ramen för en verksamhet som omfattas av medlemsstaternas behörighet är emellertid inte i sig relevant för att utesluta denna behandling från dataskyddsförordningens tillämpningsområde på grundval av dess artikel 2.2 a, eftersom den varken ingår i en verksamhet som syftar till att värna den nationella säkerheten eller i en verksamhet som kan hänföras till samma kategori. ( 18 )

49.

Att från dataskyddsförordningens tillämpningsområde utesluta en behandling som har utförts inom ramen för en verksamhet enbart på grund av att denna verksamhet omfattas av medlemsstaternas behörighet strider enligt min uppfattning mot såväl denna förordnings lydelse som dess sammanhang och ändamål.

50.

När lydelsen i artikel 2.2 a i dataskyddsförordningen nämner begreppet ”en verksamhet som inte omfattas av unionsrätten”, avses inte ett behörighetsresonemang, utan ett materiellt resonemang rörande lagstiftarens definition av tillämpningsområdet, i själva dataskyddsförordningen, som följer av artikel 16.2 FEUF. Denna bestämmelse ”konstituerar och delegerar” en lagstiftningsbefogenhet till unionen inom området för skydd av personuppgifter och för det fria flödet av personuppgifter, och definierar för detta ändamål ett särskilt tillämpningsområde. ( 19 ) Vidare går begreppet ”unionsrättens tillämpningsområde”, i det specifika sammanhang som gäller personuppgifter, utöver den ”tillämpning av unionsrätten” som avses i artikel 51 i Europeiska unionens stadga (nedan kallad stadgan), bland annat mot bakgrund av att problematiken i samband med behandling av personuppgifter är av en autonom natur och krävde en egen lagstiftningsåtgärd. ( 20 ) Slutligen ”har unionsrätten viss inverkan på flera områden som omfattas av medlemsstaternas behörighet”. ( 21 ) Detta är i synnerhet fallet vad gäller dataskyddsförordningen, vars gränsöverskridande tillämpningsområde nödvändigtvis är brett mot bakgrund av dess syften, om vilka erinras i punkt 39 i detta förslag till avgörande.

51.

Även om ”antidopningsverksamheten” inte regleras i en unionsrättsakt och ankommer på medlemsstaterna, kan detta inte anses innebära att den behandling som utförs inom ramen för denna verksamhet inte ”omfattas av unionsrätten”, i den mening som avses i artikel 2.2 a i dataskyddsförordningen, såsom domstolen har tolkat den i det specifika sammanhang som gäller dataskyddsförordningen.

52.

För övrigt har unionen, sedan Lissabonfördraget, en stödbefogenhet på området idrott. ( 22 ) I artikel 165.2 FEUF föreskrivs således att ”[m]ålen för unionens insatser ska vara att … utveckla idrottens europeiska dimension genom att främja rättvisa och öppenhet i idrottstävlingar och samarbetet mellan organisationer och myndigheter med ansvar för idrott samt genom att skydda idrottsutövarnas fysiska och moraliska integritet, särskilt när det gäller de yngsta utövarna”. Dessa begrepp avser bland annat politik på antidopningsområdet. En sådan stödbefogenhet ger visserligen inte unionen behörighet att lagstifta på idrottsområdet. Unionens verksamhet existerar emellertid, även om den inte är normativ, och gör det möjligt att anta rättsakter i syfte att stödja, samordna eller komplettera medlemsstaternas åtgärder, i enlighet med artikel 6 FEUF. ( 23 ) Antidopningsreglernas ”idrottskaraktär” gör det således inte möjligt att anta att genomförandet av den utgör en verksamhet som inte omfattas av unionsrätten i den mening som avses i artikel 2.2 a i dataskyddsförordningen.

–

… och trots att den ”saknar” ekonomisk karaktär

53.

För det andra har NADA gjort gällande att idrottsutövning endast omfattas av unionsrätten i den mån den utgör en ekonomisk verksamhet. De aktuella antidopningsreglerna grundar sig, vad dem beträffar, på rent idrottsmässiga överväganden. Därför utgör inte den i målet aktuella behandlingen av uppgifter en fråga som rör ekonomisk verksamhet och omfattas således inte av unionsrättens tillämpningsområde.

54.

Jag finner inte heller detta argument, rörande en påstådd ”avskiljbarhet” avseende antidopningsreglerna, övertygande.

55.

Påståendet att ”med hänsyn till gemenskapens mål lyder utövandet av en sport under gemenskapsrätten endast om utövandet utgör en ekonomisk verksamhet enligt artikel 2 i [EG]-fördraget” härrör från domen av den 12 december 1974 i målet Walrave och Koch. ( 24 ) Sedan dess har unionen emellertid utövat sin behörighet på dataskyddsområdet på grundval av artikel 16 FEUF. Medlemsstaterna har således haft för avsikt att tillämpa unionsrätten avseende skydd av personuppgifter inbegripet på icke-ekonomiska området, såsom dataskyddsförordningens lydelse, sammanhang och mål vittnar om.

56.

Inledningsvis fastställer lydelsen i artikel 2.2 a i dataskyddsförordningen denna förordnings materiella tillämpningsområde genom att hänföra till begreppet ”verksamhet” och inte ”ekonomisk verksamhet” oavsett om denna omfattas av unionsrätten eller inte.

57.

Vidare bekräftar dataskyddsförordningens sammanhang, i synnerhet dess bestämmelser om överföring av personuppgifter till tredjeländer eller till internationella organisationer (kapitel V i dataskyddsförordningen), det synsätt som denna lydelse ger uttryck för. Även om villkoren inte är uppfyllda för att en sådan överföring sker, kan de undantag i särskilda situationer som föreskrivs i artikel 49 i dataskyddsförordningen, emellertid tillåta en sådan överföring. I skäl 112 i dataskyddsförordningen nämns emellertid uttryckligen att undantag för dessa särskilda situationer ”bör främst vara tillämpliga på uppgiftsöverföringar som krävs och är nödvändiga med hänsyn till viktiga allmänintressen, exempelvis vid internationella utbyten av uppgifter … för att minska och/eller undanröja dopning inom idrott”. Som den finska regeringen har påpekat, visar detta skäl att unionslagstiftaren inte ansåg att behandling av personuppgifter på området dopningskontroll, även om det avsåg en icke-ekonomisk verksamhet, föll utanför denna förordnings tillämpningsområde.

58.

Slutligen anser jag inte att kriteriet avseende en anknytning till unionsrätten genom en ekonomisk verksamhet är mer relevant mot bakgrund av dataskyddsförordningens syften. Ett sådant kriterium skulle nämligen leda till att dataskyddsförordningens tillämpningsområde fastställdes från fall till fall, beroende på huruvida den aktuella behandlingen av personuppgifter har samband med särskilda bestämmelser i unionsrätten eller med de friheter som styr den inre marknaden. Ett sådant synsätt skulle, då det skulle variera beroende på de aktuella konkreta situationerna, riskera att göra gränserna för denna förordnings tillämpningsområde osäkra och vaga, ( 25 ) vilket skulle motverka dess huvudsakliga syfte, vilket är att säkerställa en konsekvent och enhetlig tillämpning av skyddsbestämmelserna i hela unionen och undanröja hindren för flödena av personuppgifter inom denna.

59.

Det ska vidare tilläggas att det, åtminstone beträffande professionella idrottare, inte kan uteslutas att det finns ett samband mellan antidopningsreglerna och deras yrkesverksamhet och således en ekonomisk anknytning genom bland annat den fria rörligheten och friheten att tillhandahålla tjänster. ( 26 ) De bestraffningar som kan utdömas är nämligen av sådan art att de kan medföra avsevärda ekonomiska konsekvenser på grund av avstängning av idrottarna, ibland på livstid. Om man, för att fastställa dataskyddsförordningens tillämpningsområde, skulle kräva att en sådan ekonomisk anknytning finns, skulle det minst sagt otillfredsställande resultatet bli att dataskyddsförordningen exempelvis skulle vara tillämplig på professionella idrottare men inte på amatöridrottare. ( 27 ) En sådan skillnad i behandling beroende på huruvida verksamheten betraktas som ekonomisk eller inte kan svårligen vara förenlig med dataskyddsförordningen och dessa syften avseende skydd av personuppgifter.

1.

Slutsats avseende den första tolkningsfrågan

60.

Mot denna bakgrund, föreslår jag att domstolen ska besvara den första tolkningsfrågan så att artikel 16.2 första meningen FEUF och artikel 2.2 a i dataskyddsförordningen ska tolkas så, att behandlingar av personuppgifter som, enligt nationella antidopningsregler, utgörs av ett offentliggörande av de berörda idrottarnas namn, den idrottsgren som de utövar, den förseelse av dopningsregler som de har begått, ålagd bestraffning samt början och slutet av bestraffningen inte kan anses ha utförts som ett led i en ”verksamhet som inte omfattas av unionsrätten”, i den mening som avses i artikel 2.2 a i dataskyddsförordningen.

B.

Den andra tolkningsfrågan

61.

Den hänskjutande domstolen har, genom sin andra tolkningsfråga, önskat få klarhet i huruvida det aktuella offentliggörandet av personuppgifter avser ”uppgifter om hälsa” i den mening som avses i artikel 9 i dataskyddsförordningen.

1.

Bred tolkning av begreppet ”uppgifter om hälsa”

62.

Betydelsen av denna fråga ligger i att artikel 9 i dataskyddsförordningen föreskriver särskilda skyddsbestämmelser för så kallade ”känsliga” personuppgifter, däribland ”uppgifter om hälsa”. Dessa uppgifter, som kan anses utgöra en del av kärnan i människors privatliv, kräver som sådana en hög skyddsnivå, både genom skyddet för privatliv och genom lagstiftningen om skydd av personuppgifter. ( 28 ) Behandlingen av dessa uppgifter är således förbjuden enligt artikel 9.1 i dataskyddsförordningen, såvida inte något av de undantag som föreskrivs i artikel 9.2 är tillämpligt. Det är detta som återspeglas i skäl 51 i dataskyddsförordningen, avseende känsliga uppgifter, enligt vilket detta särskilda skydd förklaras av att ”behandling av sådana uppgifter kan innebära betydande risker för de grundläggande rättigheterna och friheterna”. Enligt skäl 54 i dataskyddsförordningen rör det sig om att, om uppgifterna behandlas med hänsyn till ett allmänt intresse, ”undvika att de behandlas för andra ändamål av tredje part, exempelvis arbetsgivare eller försäkrings- och bankföretag”. ( 29 ) Kravet på skydd av uppgifter har för övrigt ökat på grund av datoriseringen av sjukvårdsstrukturer och digitaliseringen av handlingar och flöden av uppgifter. ( 30 )

63.

Det ska tilläggas att förbudet mot behandling av uppgifter om hälsa, som föreskrivs i artikel 9.1 i dataskyddsförordningen, gäller oavsett om den information som avslöjas genom den aktuella personuppgiftsbehandlingen är korrekt eller inte och oavsett om den personuppgiftsansvarige agerar i syfte att erhålla information som ingår i någon av de särskilda kategorier som avses i denna bestämmelse. ( 31 ) Av detta följer att den personuppgiftsansvariges mål, och i synnerhet det förhållandet att behandlingen är nödvändig enligt en rättslig skyldighet eller med hänsyn till ett allmänt intresse, även om det utgör en relevant omständighet vid en eventuell tillämpning av ett av de tio undantag som föreskrivs i artikel 9.2 i dataskyddsförordningen, inte är en omständighet som ska beaktas i det skede då det fastställs om uppgiften utgör en uppgift om hälsa. ( 32 )

64.

Enligt artikel 4.15 i dataskyddsförordningen, jämförd med skäl 35 i denna förordning, ska sådana uppgifter innefatta ( 33 ) alla personuppgifter som hänför sig till en persons hälsotillstånd som ger information om den registrerades tidigare, nuvarande eller framtida fysiska eller psykiska hälsotillstånd.

65.

Domstolen har redan slagit fast att syftet med dataskyddsförordningen kräver att begreppet ”uppgifter om hälsa” i artikel 9.1 i denna förordning ges en vid tolkning. ( 34 ) Enligt en kontextuell och teleologisk tolkning av artiklarna 4.15 och 9 i dataskyddsförordningen räcker det för att personuppgifterna, för att de ska kunna anses utgöra uppgifter om hälsa, till sin karaktär är sådana att de, även indirekt, genom associering eller slutledning, kan avslöja information om den registrerades hälsotillstånd. ( 35 )

66.

I detta sammanhang anser jag att det går att göra en schematisk åtskillnad mellan två kategorier av uppgifter om hälsa.

67.

I den ena kategorin ingår data som genereras inom sjukvården och som förefaller kunna betraktas som uppgifter om hälsa ”till sin natur” ( 36 ), av ”objektiv” ( 37 ) karaktär, vilka, som anges i skäl 35 i dataskyddsförordningen, avser information om exempelvis fysisk eller psykisk sjukdom, funktionshinder, sjukdomsrisk, sjukdomshistoria eller klinisk behandling. De finns i allmänhet i den registrerades patientjournal. ( 38 ) På samma sätt ska uppgifter som, även om de inte är sjukdomsrelaterade uppgifter, samlas in för att ingå i patientjournalen, såsom administrativa uppgifter som ska ingå i denna journal, anses omfattas av ”uppgifter om hälsa” enligt skäl 35 i dataskyddsförordningen. Det rör sig därmed om uppgifter som anses röra hälsa och som ger information om den registrerades hälsotillstånd.

68.

I detta sammanhang har begreppet sjukdomsrisk som nämns i skäl 35 i dataskyddsförordningen viss betydelse. Som framgår av Artikel 29-arbetsgruppens arbeten, ska detta begrepp anses omfatta uppgifter om den registrerades framtida potentiella hälsotillstånd. Den framtida ”vetenskapligt bevisade eller allmänt vedertagna” sjukdomsrisken ska således beaktas. Som exempel anges storkonsumtion av alkohol eller tobak samt drogkonsumtion. ( 39 )

69.

Vad beträffar den andra kategorin, kan en uppgift, som inte har samband med sjukdom, anses avse hälsa, särskilt om uppgiften, även indirekt, kan ge information om en fysisk persons tidigare, aktuella eller framtida fysiska eller mentala hälsotillstånd. ( 40 ) Det är ”gråzonen” ( 41 ) beträffande begreppet ”uppgift om hälsa” som väcker frågan om i vilken utsträckning uppgiftens indirekta samband med hälsa kan medföra att den ska anses utgöra en sådan. Den avgörande omständigheten är huruvida det, utifrån de aktuella uppgifterna, går att dra slutsatser i den berörda personens hälsotillstånd, oavsett om det gäller ett sjukdomstillstånd eller ett fysiologiskt tillstånd, oberoende av huruvida dessa slutsatser är trovärdiga. Dessa uppgifter om sammanhanget kan i detta hänseende beaktas, ( 42 ) liksom sambandet mellan den aktuella informationen och kapaciteten att av denna dra en slutsats om en aspekt avseende en persons hälsa. ( 43 )

70.

Exempelvis ansåg Artikel 29-arbetsgruppen att begreppet uppgift om hälsa skulle anses omfatta information om att en person tillhörde grupper som har ett mål knutet till hälsa, såsom ”Weight Watchers” och ”Anonyma alkoholister”. ( 44 ) Vidare skulle en primärdata från en ”självmätning” (av exempelvis vikt eller blodtryck som registreras av ett uppkopplat armbandsur), som inte i sig är en uppgift om hälsa, i kombination med annan information kunna göra det möjligt att dra slutsatser om den registrerades hälsa. Artikel 29-arbetsgruppen har i detta hänseende preciserat att en bedömning ska göras från fall till fall. Det kan vara så att en applikation som följer och lagrar det antal steg som tas under några dagar och raderar dessa uppgifter efter en vecka inte behandlar ”uppgifter om hälsa”. Men en applikation som kombinerar flera års fullständiga kvantifierade registreringar avseende en individ (åtföljd av exempelvis sömn- och motionsvanor, detaljerade register över kost, vikt, kroppsmassa, blodtryck och annan livsrelaterad statistik, samt en humörsdagbok) anses behandla uppgifter om hälsa. I en sådan situation ska inte endast slutsatserna, utan också primärdata, anses utgöra uppgifter om hälsa. ( 45 )

2.

Tillämpning i förevarande mål 

71.

I de bestämmelser som är aktuella i det nationella målet föreskrivs, utöver indikation av vilken idrottsgren de berörda personerna utövat och avstängningens varaktighet, skälen till avstängningen genom en hänvisning till den kategori som den/de fastställda överträdelsen/överträdelserna ingår i. När en överträdelse avser en förbjuden substans eller metod, anges även denna i det meddelande som offentliggörs på ÖADR:s webbplats. ( 46 )

72.

Inledningsvis ska det erinras om att överträdelser av antidopningsregler som offentliggörs kan delas in i flera kategorier. ( 47 )

73.

Jag anser, i likhet med den österrikiska dataskyddsmyndigheten, att endast de överträdelser som föreskrivs i kategorierna 2.1 och 2.2 ska prövas mot bakgrund av begreppet ”uppgifter om hälsa”. De övriga överträdelserna avser nämligen förseelser vilka inte som sådana, ens indirekt, förefaller kunna avslöja information om den registrerades hälsotillstånd. Information om att idrottare har underlåtit att uppfylla lokaliseringsplikten (överträdelse i kategori 2.4) eller har handlat med förbjudna substanser (överträdelse i kategori 2.7) avslöjar exempelvis ingen information om hans eller hennes hälsotillstånd.

74.

Vidare ska det påpekas att ett fastställande av överträdelser i kategorierna 2.1 och 2.2 innebär att den berörda idrottaren dopningstestas och att de prov som tagits analyseras för att upptäcka de förbjudna substanserna och metoderna. Det ska tilläggas att dessa analyser ska utföras av erkända yrkeskunniga ( 48 ) och således i en sjukvårds- eller sjukvårdsliknande sammanhang. Fastställandet av sådana överträdelser hör således samman med begreppet ”uppgifter som härrör från tester eller undersökning av en kroppsdel eller kroppssubstans”, i den mening som avses i skäl 35 i dataskyddsförordningen. Sådana uppgifter skulle således, till sin natur, kunna betraktas som uppgifter om hälsa.

75.

Testen ska, i detta hänseende, visserligen utföras för att upptäcka dopningssubstanser som tagits för att förbättra idrottsprestationer. Den behandling som består i att avslöja de aktuella uppgifterna ska uppfylla ett repressivt syfte i förhållande till den berörda idrottaren och verka avskräckande. Det ska emellertid erinras om att det eftersträvade syftet inte är relevant när det gäller att fastställa om de aktuella uppgifterna utgör en uppgift om hälsa. ( 49 )

76.

Den omständigheten att dopningssubstanser inte utgör läkemedel övertygar mig inte heller. Begreppet ”uppgifter om hälsa” omfattar nämligen inte endast läkemedel med terapeutiskt syfte. Vissa läkemedel är i övrigt hälsovådliga om de används på fel sätt. Vidare har bekämpningen av dopning visserligen som mål att främja rättvisa och likabehandling mellan idrottare, men den fyller även ett hälsofrämjande syfte. ( 50 ) Många substanser eller metoder är förbjudna bland annat på grund av deras negativa hälsoeffekter, även om denna effekt varierar beroende på produkt, vilken mängd som intagits och den berörda personens kroppskonstitution. ( 51 )

77.

För att avgöra om den aktuella uppgiften ska anses utgör en uppgift om hälsa, oberoende av att idrottarens syfte är att förbättra sin prestation, går det således inte enligt min uppfattning att bortse från effekterna av ett intag av en förbjuden substans på denna idrottares hälsa, oavsett om dessa effekter redan har inträffat eller kommer att inträffa i framtiden.

78.

Slutligen anser jag att ÖADR:s offentliggörande av namnet på den förbjudna substans som har upptäckts i kroppen till sin karaktär upplyser allmänheten om de risker som ett intag av denna substans kan medföra för den aktuella idrottarens hälsa.

79.

Att enbart nämna namnet på den förbjudna substansen kan visserligen i sig anses otillräckligt för att avslöja information om den berörda idrottarens, om än framtida, hälsotillstånd. Själva innehållet i informationen skulle, i detta hänseende, kunna anses vara alltför kort och sambandet med hälsotillståndet alltför indirekt, eller till och med hypotetiskt, för att kunna utgöra en ”uppgift om hälsa” i dataskyddsförordningens mening. Det kan emellertid inte uteslutas att det, genom att intellektuellt se ett samband eller dra en slutsats, går att av denna information, i kombination med andra uppgifter, röja information om den berörda personens till och med framtida hälsa, om än på ett indirekt sätt.

80.

Således anser jag att en angivelse av den aktuella substansens namn (eller kategori) ger indikationer som, även om de inte är särskilt detaljerade, kan ge upplysningar om den berörda personens hälsotillstånd, även om detta sker indirekt. Specifikt i samband med dataskyddsförordningen kan en sådan angivelse, under vissa omständigheter som det ankommer på den hänskjutande domstolen att kontrollera, anses utgör en ”uppgift om hälsa”, i den mening som avses i artiklarna 4.15 och 9.1 i dataskyddsförordningen, jämförda med skäl 35 i denna förordning.

81.

Däremot anser jag inte att detta är fallet om den aktuella förbjudna substansen (eller den kategori som den tillhör) inte nämns. I en sådan situation skulle det nämligen vara omöjligt att göra en koppling mellan fastställandet av en överträdelse på grund av förekomsten av en förbjuden substans i organismen och informationen om den berörda personens hälsotillstånd, inbegripet genom att ”intellektuellt se ett samband eller dra en slutsats”. Jag anser att en sådan koppling då skulle vara alltför indirekt för att den röjda informationen skulle kunna anses ingå i kategorin ”uppgifter om hälsa” i dataskyddsförordningen.

3.

Slutsats avseende den andra tolkningsfrågan

82.

Jag föreslår således att domstolen ska slå fast att artikel 9.1 i dataskyddsförordningen ska tolkas så, att en angivelse av namnet på den berörda idrottaren, varaktigheten av vederbörandes avstängning och skälen till denna, inte ska anses utgöra en behandling av en uppgift om hälsa, i den mening som avses i den bestämmelsen, såvida inte dessa skäl omfattar namnet på den förbjudna substans eller de förbjudna substanser som har det har hittats spår av i den berörda idrottarens kropp. Detta gäller i den mån denna indikation är av sådan art att den, om än indirekt, kan avslöja information om den berörda idrottarens hälsotillstånd, även om det gäller vederbörandes framtida hälsotillstånd, vilket det ankommer på den hänskjutande domstolen att kontrollera.

C.

Den femte tolkningsfrågan

83.

Den hänskjutande domstolen har, i huvudsak, önskat få klarhet om det aktuella offentliggörandet utgör en behandling av personuppgifter avseende fällande domar i brottmål och överträdelser, i den mening som avses i artikel 10 i dataskyddsförordningen. Den har i detta hänseende preciserat att bestraffningarna i det nationella målet omfattar fråntagande av titlar och prispengar och avstängning från alla (nationella och internationella) tävlingar i flera år eller på livstid. Den har vidare angett att idrottsorganisationer, enligt 24 § punkt 4 i antidopningslagen inte får ”använda” personer som har stängts av i enlighet med antidopningslagstiftning, vilket innebär att de specifikt inte får ge dem sysselsättning mot vederlag.

84.

Innan jag analyserar karaktären av de aktuella fällande avgörandena och överträdelserna av dopningsreglerna, erinrar jag nedan om betydelsen av huruvida det rör sig om fällande domar och överträdelser i brottmål inom ramen för artikel 10 i dataskyddsförordningen.

1.

Betydelsen av en huruvida av fällande domar och överträdelser i den mening som avses i artikel 10 i dataskyddsförordningen är av straffrättslig karaktär

85.

Det ska erinras om att unionslagstiftaren inte förbjuder behandling av personuppgifter avseende fällande domar i brottmål och överträdelser, utan underställer dem en förstärkt kontroll, eftersom en sådan behandling kan få stor inverkan på de berörda personernas liv, bland annat vad gäller påverkan på deras rykte eller diskriminering på andra områden. En sådan behandling får således endast ske ”under kontroll av en myndighet” eller om ”lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs i den lagstiftning som tillåter att uppgifterna lämnas ut”. ( 52 ) Genom artikel 10 i dataskyddsförordningen förbehålls detta utökade skydd straffrättsområdet, eftersom de lagöverträdelser som avses i den bestämmelsen (”fällande domar” och ”överträdelser”) uteslutande är av straffrättslig art. ( 53 )

86.

Således kan artikel 10 i dataskyddsförordningen omfatta privata organs registrering av fällande domar i brottmål och överträdelser, ( 54 ) exempelvis i samband med bekämpning av penningtvätt eller verksamhet vid kriminaltekniska laboratorier. ( 55 ) Vidare kan som exempel nämnas behandling av personuppgifter av ett fordonuthyrningsorgan som identifierar och namnger en förare som anges ha brutit mot trafikreglerna.

87.

I förevarande mål är frågan således huruvida detta ”idrottsbelastningsregister” som NADA och ÖADR har offentliggjort på internet ska anses utgöra ett ”register” över fällande domar i brottmål och överträdelser som omfattas av tillämpningsområdet för artikel 10 i dataskyddsförordningen och således medför ett förstärkt skydd.

2.

Bedömning av huruvida fällande avgöranden och överträdelser av antidopningsreglerna i den mening som avses i artikel 10 i dataskyddsförordningen ska anses vara av straffrättslig karaktär

88.

Enligt domstolens praxis kräver begreppet överträdelse, som är avgörande för att fastställa huruvida artikel 10 i dataskyddsförordningen ska tillämpas på behandlingar av personuppgifter, i hela unionen, en autonom och enhetlig tolkning, som ska göras med beaktande av denna bestämmelses syfte och det i sammanhang i vilket den ingår, utan att den berörda medlemsstatens kvalificering av dessa överträdelser ska vara avgörande, eftersom denna kvalificering kan skilja sig från ett land till ett annat.

89.

De tre ”Engel-kriterier” som domstolen har fastställt, ( 56 ) det vill säga den rättsliga kvalificeringen av överträdelsen i nationell rätt, själva överträdelsens art och strängheten i den sanktion som den berörde kan åläggas, är således relevanta för att bedöma om en överträdelse är straffrättslig.

90.

Även om det ankommer på den hänskjutande domstolen att mot bakgrund av dessa kriterier bedöma huruvida de fällande domar i brottmål och överträdelser som är aktuella i det nationella målet är av straffrättslig karaktär, i den mening som avses i artikel 10 i dataskyddsförordningen, kan EU-domstolen emellertid när den meddelar ett förhandsavgörande bidra med preciseringar för att vägleda den nationella domstolen vid dess bedömning. ( 57 )

91.

Jag kommer således att undersöka de aktuella fällande domarna och överträdelserna mot bakgrund av dessa tre kriterier.

a)

Den rättsliga kvalificeringen av överträdelsen i nationell rätt

92.

Av begäran om förhandsavgörande framgår att ÖADR, enligt österrikisk rätt, ska genomföra disciplinära förfaranden för det behöriga federala idrottsförbundet. Den österrikiska regeringen underströk vidare vid förhandlingen att antidopningreglerna är av sui generis-karaktär eftersom antidopningsöverträdelserna utgör åsidosättanden av de berörda federala idrottsförbundens regler, som idrottarna förbinder sig att iaktta, ( 58 ) och inte lagöverträdelser.

93.

Kvalificeringen av antidopningsöverträdelser enligt nationell rätt talar således inte för en kvalificering som ”brott” i den mening som avses i artikel 10 i dataskyddsförordningen.

94.

Räckvidden av detta första Engel-kriterium ska emellertid relativiseras, eftersom en sådan karaktär, även när det gäller överträdelser som inte kvalificeras som ”straffrättsliga” i nationell rätt, emellertid kan följa av överträdelsens art i sig och av strängheten i den sanktion som den kan föranleda. ( 59 ) Detta gäller särskilt avseende antidopningsregler, eftersom det gränsöverskridande system som inrättats innebär inblandning av olika, internationella och nationella, aktörer ( 60 ) och att medlemsstaterna har införlivat WADC på olika sätt med sina respektive rättssystem. Genomförandet av antidopningsreglerna skiljer sig således nödvändigtvis åt mellan medlemsstaterna, beroende på olika statliga organisationsmodeller, även om NADO, i de flesta av medlemsstaterna, inte har någon straffrättslig behörighet i detta hänseende. ( 61 )

95.

Således ska de två övriga kriterierna undersökas.

b)

Överträdelsens art

96.

Detta andra kriterium innebär att det ska prövas huruvida den aktuella åtgärden bland annat har ett repressivt syfte, varvid den omständigheten att åtgärden även har ett förebyggande syfte inte i sig kan anses innebära att den förlorar sin karaktär av straffrättslig påföljd. Straffrättsliga påföljder är nämligen till sin natur sådana att de syftar till att både beivra och förebygga olagliga handlingar. Däremot är en åtgärd som inskränker sig till att kompensera för den skada som vållats genom överträdelsen i fråga inte av straffrättslig karaktär. ( 62 )

97.

Av begäran om förhandsavgörande framgår att det finns två kategorier av sanktioner för överträdelser av antidopningsregler.

98.

Det rör sig, beträffande den första kategorin om fråntagande av titlar och prispengar, vilket består i att ta tillbaka priserna i syfte att ge dem till de idrottare som skulle ha fått den om den bestraffade idrottaren inte hade deltagit i tävlingen. En sådan bestraffning förefaller motsvara överträdelsen av ”spelregeln” (lex sportiva) och kan ha som huvudsyfte att återupprätta lojaliteten i tävlingarna, ( 63 ) även om detta inte omintetgör åtgärdens bestraffningskaraktär i förhållande till den berörda idrottaren.

99.

Den andra kategorin kan avse avstängning från idrottstävlingar i flera månader eller år eller, såsom är fallet med en av klagandena i det nationella målet, avstängning på livstid från alla tävlingar. Denna avstängning kan visserligen ses som en önskan att ”bannlysa” den skyldige idrottaren i syfte att avlägsna eller utesluta vederbörande från idrottarnas gemenskap och därmed bevara denna gemenskaps integritet. Avstängningen är emellertid även avsedd att bestraffa den idrottare som har brutit mot de antidopningsreglerna som han eller hon förbundit sig att iaktta och att avskräcka övriga idrottare från att göra samma sak.

100.

Huvudsyftet med dessa antidopningsåtgärder, åtminstone avstängningen från tävlingar, förefaller således inte vara att reparera den skada som åsamkats tredje man till följd av överträdelsen, utan att bestraffa den berörda idrottaren för dennes beteende, vilket påminner om en straffrättslig påföljd. ( 64 ) I detta hänseende har antidopningsreglerna, även om de inte utgör brottslagstiftning, ett repressivt syfte. ( 65 )

101.

Kvalificeringen som ”straffrättslig” enligt det andra Engel-kriteriet kan emellertid väcka tvivel i två hänseenden.

102.

Ett första tvivel följer av konstaterandet att disciplinära förfaranden av Europadomstolen snarare har bedömts inom ramen för civilrättsliga mål enligt artikel 6 i Europakonventionen, ( 66 ) utom exempelvis när en frihetsberövande påföljd har dömts ut och påföljden är tillräckligt sträng. ( 67 )

103.

I synnerhet anser Europadomstolen att artikel 6 i Europakonventionen till sin civilrättsliga del är tillämplig på ”tvister avseende avstängning från rätten att utöva ett yrke”, ( 68 ) inbegripet på idrottsområdet. ( 69 )

104.

Att ett förbud att utöva ett yrke är av straffrättslig karaktär är således långt ifrån en självklarhet.

105.

Jag anser emellertid inte att det därav, i kraft av själva sakförhållandet (ipso facto) och förbehållslöst, går att dra slutsatsen att en avstängning från idrottstävlingar aldrig kan omfattas av straffrätten.

106.

Ett sådant synsätt förefaller nämligen rent formalistiskt.

107.

Det ska vidare erinras om att de båda delarna, den civilrättsliga och den straffrättsliga) av artikel 6 i Europakonventionen, inte nödvändigtvis utesluter varandra. ( 70 )

108.

Slutligen ska det påpekas att Europadomstolen prövar huruvida den aktuella överträdelsen är straffrättslig eller civilrättslig mot bakgrund av de invändningar som gjorts vid den och i syfte att bedöma om de garantier om en rättvis rättegång som föreskrivs i artikel 6 i Europakonventionen är tillämpliga enligt den civilrättsliga delen (punkt 1) eller den straffrättsliga delen (punkterna 1–3).

109.

Däremot, när det gäller artikel 10 i dataskyddsförordningen, rör det sig om att bedöma om den fällande domen eller överträdelsen är straffrättslig för att fastställa om den aktuella behandlingen (i detta mål offentliggörandet) avser en uppgift som förtjänar ett förstärkt skydd som innebär en kontroll av en myndighet. Det ska tilläggas att ingenting förbjuder att bestämmelsen ges en vidare tolkning, som garanterar ett förstärkt skydd av de aktuella rättigheterna och friheterna. ( 71 ) Det är mot bakgrund av artikel 10 i dataskyddsförordningen som det ankommer på den hänskjutande domstolen att bedöma om Engel-kriterierna, i synnerhet det andra kriteriet avseende överträdelsens art, är uppfyllda.

110.

Ett annat tvivel kommer av att överträdelserna av antidopningreglerna och de fällande domarna i brottmål endast avser en viss grupp av personer, nämligen idrottare, i likhet med de disciplinära påföljder som i allmänhet har till syfte att säkerställa att gruppens specifika beteenderegler iakttas av deras medlemmar. ( 72 ) Sådana bestämmelser är avsedda att skydda yrkesgruppens anseende och rykte samt upprätthålla allmänhetens förtroende för denna yrkesgrupp. ( 73 )

111.

Ett sådant konstaterande gör det visserligen möjligt att kvalificera överträdelsen som ”disciplinär” i den meningen att den är tillämplig på ett visst antal personer som omfattas av ett specifikt regelverk. I detta hänseende skiljer sig förevarande mål från målet som ledde fram till domen Latvijas Republikas Saeima, i vilket prickningen av den som bröt mot trafikregler grundade sig på en allmänt tillämplig text. ( 74 )

112.

Kvalifikationen som brott i den mening som avses i artikel 10 i dataskyddsförordningen kan emellertid inte för den sakens skull uteslutas. Om det för att hindra att överträdelsen kan kvalificeras som brott skulle räcka att tillämpningsområdet för det disciplinära reglerna inte är lika brett, skulle återigen ett rent formalistiskt synsätt gälla avseende begreppet. Ett sådant synsätt är inte förenligt med rättspraxis enligt vilken det, för att fastställa överträdelsens art, ska undersökas om påföljden har ett repressivt eller preventivt syfte, till skillnad från enbart ett reparationssyfte.

113.

I förevarande mål har de fällande antidopningsdomarna, såsom jag har påpekat ovan, ( 75 ) emellertid inte till syfte att reparera de skador som dessa överträdelser eventuellt har orsakat (eller inte enbart om det gäller den skada som idrottsrörelsen har åsamkats). De har tvärtom ett repressivt syfte som är av sådan art att det medför att de ska kvalificeras som ”brott” i den mening som avses i den tolkning som detta andra kriterium har getts i rättspraxis, oberoende av huruvida den tillämpliga texten är allmängiltig eller inte. Det ska för övrigt påpekas att idrottens skiljedomstol (Schweiz), vilken är inte internationell institution som erbjuder skiljedom eller medling inom idrotten, själv när tillfälle har beretts har erkänt att dopningsbestraffningar är av ”näst intill straffrättslig” art. ( 76 )

114.

Vidare kan vissa överträdelser av antidopningsreglerna, som till exempel handel med förbjudna substanser, medföra bestraffningar som omfattas både av antidopningsreglerna och av den nationella straffrätten. Europadomstolen har visserligen angett att den omständigheten att rättsakter, som kan leda till en disciplinär åtgärd, även utgör brott, inte är tillräckligt för att anse att en person som är ansvarig enligt den disciplinära rätten står ”åtalad” för brott. ( 77 ) Jag anser emellertid att detta skulle kunna vara en omständighet att beakta inom ramen för det andra Engel-kriteriet.

115.

Således anser jag, trots de ovan uttryckta förbehållen, i detta skede att det inte kan utesluta att vissa överträdelser av antidopningsreglerna, mot bakgrund av deras repressiva eller preventiva art, kan anses utgöra brott i den mening som avses i artikel 10 i dataskyddsförordningen.

c)

Straffets stränghet

116.

Detta tredje Engel-kriterium ska bedömas i förhållande till det högsta straff som föreskrivs i de relevanta bestämmelserna. ( 78 )

117.

Denna stränghet varierar emellertid beroende på vilken överträdelse av antidopningsreglerna som har begåtts. Exempelvis varierar varaktigheten av avstängningen utifrån vilka överträdelser av antidopningsreglerna som är aktuella. Vidare kan gärningsmannens återfall och uppsåt spela roll i detta hänseende. ( 79 )

118.

Av begäran om hänskjutande framgår att det, i förevarande mål, kan röra sig om ”avstängning från alla (nationella och internationella) tävlingar i flera år eller på livstid”, vilket således kan innebära ett slutgiltigt förbud att utöva idrott som yrke.

119.

Det rör sig visserligen inte om ett frihetsberövande straff. Detta är emellertid inte avgörande, eftersom ”att konsekvenserna är av mindre betydelse inte kan frånta en överträdelse dess inneboende straffrättsliga karaktär”. ( 80 ) Vidare kan den berörda personens karriär som idrottare, beroende på avstängningens varaktighet, upphöra, bland annat mot bakgrund av de berörda personernas ålder och den omständigheten att karriären, särskilt inom vissa idrotter, är förhållandevis kort.

120.

Till denna avstängning, som eventuellt sker på ”livstid”, kan läggas den praktiska omöjligheten att hitta en anställning i idrottensbranschen, mot bakgrund av förbudet mot samröre med en person som är avstängd under hela avstängningens varaktighet.

121.

Utöver de ekonomiska och finansiella konsekvenserna för den berörda personen, utsätts vederbörande slutligen för samhällets ogillande och en stigmatisering i såväl den offentliga som den privata sfären.

122.

Av detta följer, enligt min uppfattning, att en sådan bestraffning är av en sådan stränghet att den kan få en verkan motsvarande en fällande dom i brottmål i den mening som avses i artikel 10 i dataskyddsförordningen, vilket det emellertid ankommer på den hänskjutande domstolen att bedöma i varje specifik situation.

123.

Följaktligen anser jag att överträdelser och fällande domar rörande antidopningsregler ska anses omfattas av det disciplinära området, utom i de situationer där ett fällande avgörande är så strängt att det ska anses vara straffrättsligt. En sådan bedömning, som inte kan ifrågasättas enbart genom kvalificeringen enligt nationell rätt, ingår vidare inom ramen för det repressiva och preventiva syftet med den fällande domen som ger överträdelsen en straffrättslig art. Mot denna bakgrund anser jag att en avstängning på livstid från att delta i tävlingar skulle kunna utgöra en bestraffning vars verkan motsvarar en straffrättslig påföljd, som kan medföra att artikel 10 i dataskyddsförordningen är tillämplig.

124.

Slutligen ska det tilläggas att NADA:s argument, om varning för de konsekvenser, för samtliga yrkeskårer, som skulle följa av att artikel 10 i dataskyddsförordningen tillämpas på behandlingen av uppgifter avseende överträdelser och disciplinära fällande avgöranden, inte övertygar mig. Det är nämligen inte, i detta mål, frågan om att på ett allmänt och abstrakt sätt ”kriminalisera” alla överträdelser och disciplinära fällande avgöranden. Analysen ovan har visat att en bedömning ska göras beroende på omständigheterna i varje enskild situation och mot bakgrund av tolkningen av artikel 10 i dataskyddsförordningen som, när det finns ett ”register” över fällande avgöranden om överträdelser som omfattas av dess tillämpningsområde, medför ett förstärkt skydd. I övrigt kan den rättsliga grunden för behandling av uppgifter avseende sådana överträdelser och fällande domar som kvalificeras som ”straffrättsliga” även utgöras av unionslagstiftningen eller medlemsstaternas lagstiftning, som föreskriver ”lämpliga skyddsåtgärder”.

3.

Slutsats avseende den femte tolkningsfrågan

125.

Jag anser att den femte tolkningsfrågan ska besvaras så att artikel 10 i dataskyddsförordningen ska tolkas så, att den kan vara tillämplig på behandling av personuppgifter avseende fällande avgöranden eller överträdelser som föreskrivs i de nationella antidopningsreglerna. Detta gäller när behandlingen, oavsett vilken kvalificering dessa överträdelser har getts i den nationella rätten, medför fällande avgöranden som har ett repressivt syfte och som är av en sådan stränghet att de motsvarar en straffrättslig påföljd, vilket det ankommer på den hänskjutande domstolen att kontrollera.

D.

Den sjätte tolkningsfrågan

126.

Om den femte tolkningsfrågan besvaras jakande, önskar den hänskjutande domstolen få klarhet i huruvida verksamheten eller avgörandena vid en myndighet, som i enlighet med artikel 10 i dataskyddsförordningen har getts i uppdrag att utöva tillsyn över behandlingen av personuppgifter som rör fällande domar i brottmål och därmed sammanhängande säkerhetsåtgärder, måste kunna prövas i domstol.

127.

För det första ska det preciseras att den aktuella myndigheten är den ”myndighet” som avses i artikel 10 i dataskyddsförordningen, vilken inte ska förväxlas med den ”tillsynsmyndighet” som avses i artikel 51 i dataskyddsförordningen. ( 81 ) Det ska även erinras om att behandlingen av personuppgifter avseende fällande domar i brottmål och överträdelser endast får utföras under kontroll av myndighet, eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. ( 82 ) Svaret på denna fråga ska således sättas i relation till svaren på den tredje och den fjärde tolkningsfrågan som kommer att prövas nedan. ( 83 )

128.

För det andra kan det konstateras att dataskyddsförordningen inte innehåller någon definition av begreppet myndighet eller ”kontroll av myndighet” i den mening som avses i artikel 10 i förordningen. Det ankommer i detta hänseende på medlemsstaterna att fastställa vilket organ som ska utöva den kontrollen av ”myndighet” vid behandling av personuppgifter, i den mening som avses i artikel 10 i dataskyddsförordningen. Som kommissionen har angett, är det inte uteslutet att flera organ kan anses som sådana myndigheter och det rör sig inte nödvändigtvis om den ”personuppgiftsansvarige”.

129.

För det tredje föreskriver visserligen inte lydelsen i artikel 10 i dataskyddsförordningen i sig någon domstolsprövning av denna ”myndighets” verksamhet eller beslut. En kontextuell tolkning av denna bestämmelser talar emellertid för en sådan prövning om de berörda personerna önskar göra gällande sina rättigheter. I likhet med flera berörda aktörer, anser jag att prövningen av åtgärder på området behandling av personuppgifter, inbegripet när denna prövning görs till följd av ett beslut av en myndighet, i den mening som avses i artikel 10 i dataskyddsförordningen, ska vara förenlig med artikel 79.1 i dataskyddsförordningen, även om den hänskjutande domstolen inte har hänvisat till denna artikel i sin tolkningsfråga. Enligt denna bestämmelse ska, utan att det påverkar tillgängliga administrativa prövningsförfaranden eller prövningsförfaranden utanför domstol, inbegripet rätten att lämna in ett klagomål till en tillsynsmyndighet i enlighet med artikel 77, varje registrerad som anser att hans eller hennes rättigheter enligt denna förordning har åsidosatts som en följd av att hans eller hennes personuppgifter har behandlats på ett sätt som inte är förenligt med denna förordning ha rätt till ett effektivt rättsmedel. Vidare är, som den finska regeringen har understrukit, själva existensen av ett effektivt rättsmedel avsett att säkerställa att unionsrätten iakttas en grundförutsättning för en rättsstat.

130.

För det fjärde bekräftas denna tolkning av syftet med artikel 10 i dataskyddsförordning, det vill säga att säkerställa ett utökat skydd mot sådan behandling som, på grund av att uppgifterna i fråga är särskilt känsliga, kan utgöra ett särskilt allvarligt ingrepp i den grundläggande rätten till respekt för privatlivet och skydd för personuppgifter. ( 84 ) En tolkning av artikel 10 i dataskyddsförordningen som, i princip och allmänt, innebär att verksamheter och beslut vid en myndighet, i den mening som avses i denna bestämmelse, helt undantas från domstolsprövning skulle strida mot dessa syften.

131.

Mot denna bakgrund och i avsaknad av vidare preciseringar avseende den aktuella myndighetens verksamheter eller beslut, anser jag att den sjätte frågan ska besvaras så att artikel 10 i dataskyddsförordningen, jämförd med artikel 79.1 i denna förordning, ska tolkas så, att verksamheter eller beslut vid en myndighet som har getts i uppdrag att utöva tillsyn över behandlingen av personuppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder ska kunna prövas i domstol.

E.

Den tredje och den fjärde tolkningsfrågan

132.

Inom ramen för dessa båda tolkningsfrågor, som kan prövas tillsammans, har den hänskjutande domstolen, i huvudsak, önskat få klarhet i huruvida artikel 5.1 a och c samt artikel 6.3 i dataskyddsförordningen kan tolkas så, att de utgör hinder för en i nationell rätt föreskriven skyldighet för de nationella antidopningsorganen att offentliggöra de berörda personuppgifterna, det vill säga i synnerhet namn på de idrottare som bestraffats för åsidosättande av antidopningsreglerna, den tid som avstängningen gäller och skälen till avstängningen.

133.

Vidare undrar den hänskjutande domstolen om dataskyddsförordningen kräver att den personuppgiftsansvarige, före offentliggörandet, gör en intresseavvägning i det enskilda fallet, eller om den proportionalitetskontroll som lagstiftaren har föreskrivit är tillräcklig.

1.

Huruvida det aktuella offentliggörandet är proportionerligt

134.

Den nationella lagstiftaren har, i antidopningslagen, föreskrivit att vissa uppgifter (de registrerades namn, längden på och skälen för avstängningen) ska lämnas, ( 85 ) till idrottsorganisationer, idrottare, andra personer (medlem av idrottarens stödteam) och tävlingsarrangörer samt tillhandahålla denna information till allmänheten utan kostnad, dock utan att det kan dras några slutsatser om uppgifter om hälsa. Det föreskrivs även att en underlåtelse att offentliggöra uppgifterna endast får ske om den berörda personen är en särskilt utsatt motionär (underårig) eller en person som bidragit avsevärt till att potentiella förseelser mot antidopningsregler upptäcks genom att lämna information eller andra uppgifter. Om jag inte misstar mig, så föreskrivs i antidopningslagen, i denna situation, varken uttryckligen att den eventuellt aktuella förbjudna substansen ska nämnas eller att offentliggörandet ska ske på internet.

135.

I praktiken har NADA och ÖADR genomfört denna lagstiftning via ett offentliggörande via internet för yrkesidrottare och, vad gäller ÖADR:s offentliggörande, nämnt den eventuellt aktuella förbjudna substansen.

a)

Inledande anmärkningar och erinran om principerna

136.

Det ska erinras om att syftet med dataskyddsförordningen, såsom det framgår av dess artikel 1 och av dess skäl 1–10, bland annat är att säkerställa en hög skyddsnivå för fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till privatliv vid behandling av personuppgifter, som föreskrivs i artikel 8.1 i stadgan och i artikel 16.1 FEUF och som har en nära koppling till rätten till respekt för privatlivet som föreskrivs i artikel 7 i stadgan.

137.

De grundläggande rättigheterna avseende respekt för privatlivet och skydd för personuppgifter, vilka garanteras i artiklarna 7 och 8 i stadgan, utgör inte utgör några absoluta rättigheter. Begränsningar får således göras, förutsatt att de, i enlighet med vad som anges i artikel 52.1 i stadgan, är föreskrivna i lag och förenliga med det väsentliga innehållet i de grundläggande rättigheterna och proportionalitetsprincipen. ( 86 )

138.

I förevarande mål har offentliggörandet av de berörda idrottarnas personuppgifter skett på grundval av en rättslig förpliktelse som åligger den personuppgiftsansvarige enligt den nationella lagstiftningen. ( 87 )

139.

Följaktligen kan denna behandling av uppgifter anses omfattas av den hypotetiska situation som avses i artikel 6.1 c i dataskyddsförordningen, i vilken föreskrivs att behandlingen är laglig om den är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Mot bakgrund av att bekämpningen av dopning kan anses vara ett uppdrag i allmänhetens intresse, ( 88 ) kan den aktuella behandlingen även omfattas av den hypotetiska situation som föreskrivs i artikel 6.1 e i dataskyddsförordningen. Det är emellertid inte nödvändigt att fastställa vilken av dessa situationer av laglighet som är tillämplig i följande mål eller om båda är tillämpliga. ( 89 )

140.

I artikel 6.3 i dataskyddsförordningen preciseras, beträffande dessa båda hypotetiska situationer av laglig behandling, som avses i artikel 6.1 c och e i dataskyddsförordningen, att denna behandling ska grunda sig på unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av och att denna rättsliga grund ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas.

141.

Vidare ska varje behandling av personuppgifter bland annat vara förenlig med de principer som anges i artikel 5.1 i dataskyddsförordningen, och särskilt med principerna om laglighet och om ”uppgiftsminimering”, som föreskrivs i leden a respektive c i denna bestämmelse. Enligt principen om uppgiftsminimering ska personuppgifter vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas, och den är ett uttryck för den ovan nämnda proportionalitetsprincipen. ( 90 )

142.

De tolkningsfrågor som den hänskjutande domstolen har ställt innebär således att det ska kontrolleras huruvida den nationella lagstiftningen, som rättslig grund för den aktuella behandlingen, uppfyller kraven enligt dessa bestämmelser, det vill säga att den uppfyller ett syfte i allmänhetens intresse och är proportionerlig i förhållande till det legitima målet.

143.

I förevarande mål ska, inom ramen för bekämpningen av dopning inom idrotten, bestraffningar antas i händelse av överträdelser av antidopningsreglerna. Därutöver tillkommer avslöjandet till allmänheten av de aktuella personuppgifterna, vilket har två syften, vilka båda är lika legitima och åberopades av de berörda parterna och den österrikiska regeringen vid förhandlingen. För det första rör det sig om att avskräcka idrottare från att åsidosätta antidopningsreglerna och därmed förebygga dopning inom idrotten. För det andra handlar det om att undvika kringgåenden av antidopningsreglerna genom att informera alla personer som skulle kunna sponsra eller anställa den aktuella idrottaren om att han eller hon är avstängd. ( 91 )

144.

Således ska den hänskjutande domstolen kontrollera huruvida den nationella lagstiftning som föreskriver den aktuella behandlingen, såsom den genomförts av NADA och ÖADR har kapacitet att bidra till genomförandet av de mål av allmänintresse som den eftersträvar, nödvändig och proportionerlig i förhållande till dessa mål. EU-domstolen har behörighet att ge den vägledning vid tolkningen.

b)

Huruvida offentliggörandet kan bidra till att uppfylla målen

145.

Jag anser att det aktuella offentliggörandet av uppgifter utan alltför stor svårighet kan anses ha kapacitet att leda till att de båda målen uppnås.

146.

För det första kan nämligen offentliggörandet av den bestraffade idrottarens namn, samt skälen till avstängningen och dess varaktighet, upplysa allmänheten om att dopning inte passerar ostraffad och att följden av den inte bara blir bestraffning utan också ett nominativt offentliggörande av avstängningen. Detta kan ge allmänheten, däribland idrottare, ett incitament att avstå från att bryta mot antidopningsregler och därmed uppfylla målet om avskräckning och förebyggande.

147.

För det andra gör offentliggörandet av denna avstängning det även möjligt att informera de personer som skulle kunna önska anställa den berörda idrottaren, i vilken roll som helst som har samband med idrott, att han eller hon är avstängd och inte får utöva någon funktion inom idrotten. Det ska tilläggas att det även ska anses vara ett åsidosättande av antidopningsreglerna att samarbeta med en avstängd idrottare. ( 92 ) Ett sådant offentliggörande kan således bidra till att det undviks att sådana överträdelser begås genom okunskap.

148.

Däremot kan jag inte se på vilket sätt en angivelse av den eventuellt förbjudna substansen, vilken inte uttryckligen föreskrivs i den nationella lagen men har offentliggjorts av ÖADR, gör det möjligt att uppfylla målen. Varken målet avseende avskräckning eller det som gäller att undvika kringgående av antidopningsreglerna kräver nämligen att den fastställda överträdelsen beskrivs så detaljerat.

c)

Huruvida offentliggörandet är nödvändigt mot bakgrund av de eftersträvade målen

149.

Enligt skäl 39 i dataskyddsförordningen krävs det för att kontrollera huruvida den aktuella behandlingen är nödvändig mot bakgrund av de eftersträvade målen att det kontrolleras att det inte finns några alternativa åtgärder som i mindre utsträckning inskränker rätten till respekt för privatlivet och rätten till skydd för personuppgifter enligt artiklarna 7 och 8 i stadgan, men lika effektiva för att uppnå nämnda mål. ( 93 )

150.

För det första, beträffande avskräckningsmålet, anser jag inte att det i alla situationer är absolut nödvändigt att lämna ut de berörda idrottarnas namn till allmänheten.

151.

Visserligen är avskräckningen mer effektivt om bestraffningarna, bland annat när det rör sig om en känd idrottare, åtföljs av ett utlämnande av dennes namn. Ett visst ansvar krävs beträffande idrottare som tävlar på hög nivå och har en viss notorietet. Ett utlämnande av deras namn kan således vara än mer relevant mot bakgrund av det eftersträvade målet.

152.

För yrkesidrottare som inte omfattas av de undantag som föreskrivs i antidopningslagen föreskrivs emellertid i den nationella lagstiftningen ett automatiskt tillgängliggörande för allmänheten av namn. Räckvidden av detta är obegränsad genom att informationen offentliggörs på internet, ( 94 ) utan hänsyn till de särskilda omständigheter som är knutna till de individuella omständigheterna (idrottarens notorietet, tävlingsnivå, uppsåt, etcetera). Därmed anser jag att dessa nationella bestämmelser, genom deras allmängiltiga karaktär, kan gå utöver vad förebyggandet av dopning kräver genom avskräckande.

153.

För det andra, vad gäller målet att hindra kringgående av förbudet att samarbeta med en avstängd person, förutsätter detta vetskap om vilken idrottare det rör sig om. Detta gör det således nödvändigt att för allmänheten tillgängliggöra den avstängda personens namn. Det framgår i detta hänseende av begäran om förhandsavgörande att det, enligt 1 § 2 led 8 i antidopningslagen, kan utgöra en överträdelse av antidopningsreglerna att en idrottare har kontakt med en medlem av sitt stödteam som omfattas av ett förbud eller en bestraffning.

154.

En obegränsad räckvidd av offentliggörandet, kopplad till en publicering på internet förefaller emellertid gå utöver vad som är nödvändigt. ( 95 )

155.

Detta mål om att undvika kringgåenden av reglerna förefaller i huvudsak vara tillämpligt i idrottsvärlden ( 96 ) och rikta sig till personer som ansvarar för tillsynen över bestraffningarna eller ansvariga för idrottsorgan eller idrottsföreningar. En mer begränsad spridning av den aktuella idrottarens identitet förefaller, i detta sammanhang, uppfylla målet på ett sätt som är effektivt och i mindre utsträckning inskränker skyddet av personuppgifter. För övrigt förklarande NADA vid förhandlingen att information om avstängning, för vissa kategorier av idrottare som tävlar på lägre nivå, kan ges via idrottsförbunden.

156.

Beträffande ekonomiska aktörer och arbetsgivare utanför idrottsvärlden, gör ett mer begränsat offentliggörande visserligen inte det möjligt att få veta att den aktuella idrottaren var avstängd och att det var förbjudet för dem att samarbeta med vederbörande. Jag anser emellertid, i den mån en sådan icke-informerad person skulle klandras för att ha samarbetat med en avstängd person (idrottare eller annan person) att reglerna om bevisbörda, i en sådan situation, skulle göra det möjligt att kontrollera huruvida detta samarbete var medvetet och avsiktligt eller inte. ( 97 ) Tvärtom förefaller ett offentliggörande på internet av avstängningen, tillsammans med namnet på den avstängda personen, innebära att ansvaret läggs på enskilda att kontrollera huruvida den person som man anställer eller samarbetar med är avstängd. Denna allmänna misstanke, som införs genom offentliggörandet på internet av ”idrottsbelastningsregistret”, går enligt min uppfattning längre än det eftersträvade målet.

157.

Det ska tilläggas att den omständigheten att NADA och ÖADR har valt ett offentliggörande på internet innebär en större inskränkning av rätten till privatliv, särskilt på grund av dess universella räckvidd. ( 98 ) Denna uppfattning delas av Artikel 29-arbetsgruppen, som har understrukit risken att de uppgifter som offentliggörs på internet används i andra syften eller senare behandlas på ett mer inkräktande sätt. ( 99 )

158.

Jag anser att ett nominativt offentliggörande men som är begränsat till relevanta organ och idrottsförbund, åtföljt av till exempel ett pseudonymiserat offentliggörande på internet, skulle göra det möjligt att uppfylla de båda eftersträvade målet på ett sätt som i mindre utsträckning inskränker skyddet av personuppgifter och är mer förenligt med principen om uppgiftsminimering.

159.

Det ska tilläggas att det av NADA anförda argumentet, grundat på en jämförelse med offentliggörande av bestraffningar inom ramen för andra yrken, såsom advokater eller inom sjukvården, inte övertygar mig. Som den nederländska regeringen har angett i detta hänseende, förefaller nämligen ett offentliggörande av namnen på avstängda advokater och läkare nödvändigt, efter som var och en kan vara ett enskilt rättssubjekt eller en patient, medan det, avseende dopning räcker att namnet på den berörda idrottaren är känt inom idrotten, av de berörda idrottsförbunden, förutom i särskilda situationer som ska bedömas från fall till fall.

160.

Följaktligen hyser jag allvarliga tvivel beträffande nödvändigheten av den aktuella behandlingen mot bakgrund av de eftersträvade målen.

d)

Proportionalitet i egentlig mening, det vill säga en intresseavvägning

161.

För att bedöma huruvida den aktuella behandlingen är proportionerlig, ska en avvägning göras mellan de olika rättigheter, friheter och intressen som berörs. Uppnåendet av ett mål av allmänt samhällsintresse kan nämligen inte ske utan att det beaktas att detta mål måste vara förenligt med de grundläggande rättigheter som berörs av åtgärden, varvid, i förevarande mål, en balanserad avvägning ska göras mellan, å ena sidan, målet av allmänt samhällsintresse, och, å andra sidan, rättigheterna för den person vars personuppgifter har utlämnats. ( 100 )

162.

Det ska tilläggas att, vid denna analys, ska domstolens kommande svar på den andra tolkningsfrågan avseende förekomsten av uppgifter om hälsa, i den mening som avses i artikel 9 i dataskyddsförordningen, och på den femte tolkningsfrågan avseende uppgifter avseende fällande domar i brottmål eller överträdelser, som omfattas av artikel 10 i dataskyddsförordningen, beaktas. Iakttagandet av principen om ”minimering” av känsliga uppgifter, i den mening som avses i artikel 9 i dataskyddsförordningen, utgör nämligen inte hinder för att personuppgifter lämnas ut till allmänheten, när detta är nödvändigt och proportionerligt. ( 101 ) Detsamma gäller när de aktuella uppgifterna omfattas av artikel 10 i dataskyddsförordningen, under förutsättning att lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs i den lagstiftning som tillåter att uppgifterna lämnas ut. ( 102 ) Vad gäller uppgifter som omfattas av dessa båda bestämmelser, är emellertid de berörda personernas intressen av stor betydelse vid intresseavvägningen. ( 103 )

163.

I förevarande mål utgör den aktuella behandlingen, som innefattar offentliggörandet på internet av den berörda idrottarens identitet, en betydande inskränkning av de grundläggande rättigheterna avseende respekt för privatlivet och skydd av personuppgifter. Behandlingen är av sådan art att den kan medföra att den berörda personen förkastas av samhället och stigmatiseras. Detta är för övrigt den ”elektroniska skampåle-effekt” som eftersträvas i detta fall.

164.

Allvaret av detta ingripande ska således vägas mot vikten av de mål som eftersträvas med offentliggörandet.

165.

Det ska påpekas att den hänskjutande domstolens fråga avser det offentliggörande som föreskrivs i antidopningslagen, såsom den har genomförts av NADA och ÖADR, för yrkesidrottare som inte omfattas av de föreskrivna undantagen (vilka avser motionärer, utsatta personer och ”visselblåsare”). Offentliggörandet avseende dem utgörs av en nominativ publicering som är både av obegränsad räckvidd, eftersom den sprids på internet till allmänheten, och ibland av obegränsad varaktighet, när det gäller avstängningar på livstid (vilket gäller en av kärandena i det nationella målet), samt systematisk och automatisk, vilket enligt antidopningslagen inte innebär någon individuell bedömning utifrån omständigheterna.

166.

Med iakttagande av hela den försiktighet som alltid krävs vid detta slag av proportionalitetsprövning, ( 104 ) brukar jag tänka att kombinationen av dessa olika omständigheter (offentliggörandets nominativa, obegränsade, systematiska och automatiska karaktär) under vissa omständigheter kan leda till en sådan inskränkning av rätten till skydd av personuppgifter för de aktuella personerna att det inte uppfyller kraven på en balanserad intresseavvägning.

167.

Exempelvis skulle det beträffande en lång avstängning ( 105 ), eller en avstängning på livstid, av en föga känd idrottare, vars yrkesidrottande har upphört sedan länge, kunna anses att ett lagligt offentliggörande av vederbörandes personuppgifter efter ett tag blir överdrivet mot bakgrund av de eftersträvade målen.

168.

NADA har gjort gällande att det inte ska göras någon åtskillnad beroende på allvaret i eller upprepningen av de överträdelser som begåtts, eftersom detta beaktas i bestraffningsskedet och inte har någon inverkan på offentliggörandet, som ska ha skett oberoende av omständigheterna. Detta argument övertygar inte mig. Offentliggörandet uppfyller nämligen syften som, även om de ingår i bekämpningen av dopning, är specifika och innebär en intresseavvägning som gör det möjligt att beakta dataskyddsförordningens krav, som inte beaktats vid bestraffningen enligt antidopningsreglerna.

169.

Således anser jag att en skyldighet att offentliggöra personuppgifter, såsom den som följer av antidopningslagen och som genomförts av ÖADR och NADA, endast kan godtas i den mån den, mot bakgrund av målen avseende avskräckning och att undvika kringgående av antidopningsreglerna, förblir proportionerlig, bland annat avseende offentliggörandets räckvidd och varaktighet, mot bakgrund av de särskilda omständigheterna i målet, vilket det ankommer på den hänskjutande domstolen att pröva.

2.

Tidpunkt för avvägningen

170.

Den hänskjutande domstolen har frågat om dataskyddsförordningen kräver att en intresseavvägning görs, före offentliggörandet, i varje enskilt fall av den personuppgiftsansvarige eller om den proportionalitetsbedömning som lagstiftaren har föreskrivit är tillräcklig.

171.

I förevarande mål har lagstiftaren föreställt sig förutbestämda situationer oberoende av omständigheterna i varje enskilt fall och nämnt omständigheter kring offentliggörandet, men samtidigt gjort förbehåll för vissa undantag. Lagstiftaren har därmed redan reglerat offentliggörandet och gjort en viss avvägning mellan intressen hos de idrottare vars personuppgifter lämnas ut och intressen kopplade till bekämpning av dopning.

172.

Det ska emellertid påpekas att de aktuella nationella antidopningsorganen (i detta mål NADA och ÖADR), enligt artikel 5.2 i dataskyddsförordningen, förblir ansvariga för utförandet av behandlingen och ansvariga (”accountable”) för iakttagandet av principerna denna behandlings laglighet och proportionalitet, liksom iakttagandet av principen om uppgiftsminimering. De ska för övrigt kunna visa att artikel punkt 1 i denna bestämmelse efterlevs.

173.

De ska vidare, enligt artiklarna 24.1 och 25.1 i dataskyddsförordningen, genomföra lämpliga tekniska och organisatoriska åtgärder (såsom pseudonymisering), både vid fastställandet av vilka medel behandlingen utförs med och vid själva behandlingen. Dessa åtgärder, som ska ses över och uppdateras vid behov, är utformade för ett effektivt genomförande av dataskyddsprinciper och för integrering av de nödvändiga skyddsåtgärderna i behandlingen, så att kraven i denna förordning uppfylls och den registrerades rättigheter skyddas. ( 106 )

174.

Det ska för övrigt påpekas att det, i förevarande mål, även om lagstiftaren har fastställt målen med behandlingen och, delvis, metoderna för denna behandling, är det NADA och ÖADR som, såsom ansvariga för behandlingen och dess genomförande, valde ett offentliggörande på internet. ÖADR valde även att offentliggöra namnet på den aktuella eventuellt förbjudna substansen.

175.

I detta sammanhang förefaller svaret på den fråga som ställts kopplat till innehållet och precisionsgraden i den nationella lag som är tillämplig på den personuppgiftsansvarige. Jag anser att den omständigheten att den nationella lagstiftaren föreskrivit principen om offentliggörande inte undantar de personuppgiftsansvariga från deras ansvar på området iakttagande av dataskyddsförordningens krav och skydd av de berörda personerna. Detta kan för den personuppgiftsansvarige, inom ramen för tillämpningen av den nationella lagstiftningen, innebära att den beaktar för målet specifika omständigheter. ( 107 ) Det kan för övrigt konstateras att denna avvägning i varje enskilt fall ankommer på den personuppgiftsansvarige i förevarande mål beträffande offentliggörandet uppgifter om avstängda idrottare som omfattas av de undantag som föreskrivs i antidopningslagen.

176.

Följaktligen anser jag att de ovannämnda bestämmelserna i dataskyddsförordningen, även om de inte kräver det i alla situationer, kan innebära att den personuppgiftsansvarige ska göra en intresseavvägning i varje enskilt fall när vederbörande bland annat fastställer metoderna för behandling av personuppgifter, således inbegripet före offentliggörandet. I detta hänseende skulle omständigheterna avseende behandlingens art, räckvidd, sammanhang och mål samt riskerna, för vilka graden av sannolikhet och allvar kan variera, för dessa personers rättigheter och friheter, kunna beaktas.

177.

Varken argumentet att ett sådant utrymme för skönsmässig bedömning för den personuppgiftsansvarige riskerar att leda till en diskriminering mellan idrottare som befinner sig i jämförbara situationer, eller risken för godtycklig bedömning, missbruk eller korruption, som bland annat kommissionen och NADA har nämnt, kan motivera en underlåtelse att göra en sådan avvägning i varje enskilt fall, vilken är avsedd att behandla personuppgifter i enlighet med dataskyddsförordningen. En sådan avvägning kan nämligen just undvika den diskriminering som skulle kunna följa av att en identisk behandling görs av olika situationer.

178.

Av detta följer, enligt min uppfattning, att artiklarna 5 och 6 i dataskyddsförordningen, jämförda med alla de skyldigheter och det ansvar som åligger den personuppgiftsansvarige, ska tolkas så, att de inte utgör hinder för en intresseavvägning i varje enskilt fall av den personuppgiftsansvarige före denna behandling av uppgifter, eller i vissa fall, så att de kräver en sådan avvägning om detta är nödvändigt för att behandla personuppgifterna i enlighet med dataskyddsförordningen.

3.

Slutsats avseende den tredje och den fjärde tolkningsfrågan

179.

Mot denna bakgrund föreslår jag att domstolen ska besvara den tredje tolkningsfrågan så att artikel 5.1 a och c samt artikel 6.3 andra stycket i dataskyddsförordningen ska tolkas så, att de utgör hinder för en skyldighet, som åläggs de nationella antidopningsorganisationerna, att offentliggöra personuppgifter, såsom namnet på idrottare som har bestraffats för överträdelse av antidopningsreglerna, den tid som avstängningen gäller och skälen till avstängningen (särskilt namnet på den förbjudna substansen) när, mot bakgrund av de för situationen specifika omständigheterna, kravet på proportionalitet inte är uppfyllt eller inte längre är uppfyllt, bland annat med avseende på offentliggörandets räckvidd och varaktighet, vilket det ankommer på den hänskjutande domstolen att kontrollera.

180.

När det gäller den fjärde tolkningsfrågan, föreslår jag att domstolen ska slå fast att artiklarna 5 och 6 i dataskyddsförordningen, tolkade mot bakgrund av de samlade skyldigheter och det ansvar som åligger den personuppgiftsansvarige, ska tolkas så, att de kräver att denne, före behandlingen av uppgifterna, gör en intresseavvägning i varje enskilt fall om detta krävs för att behandla personuppgifterna i enlighet med dataskyddsförordningen.

Den sjunde tolkningsfrågan

181.

För att förstå den sjunde tolkningsfrågan, ska det erinras om i vilket sammanhang den har ställts. Klaganden YT, lämnade redan innan hans personuppgifter hade offentliggjorts på NADA:s och ÖADR:s webbplatser in ett klagomål till den österrikiska myndigheten för skydd av personuppgifter grundat på artikel 17 i dataskyddsförordning som föreskriver en rätt till radering. Denna sistnämnda myndighet avslog YT:s klagomål, då de aktuella personuppgifterna ännu inte hade offentliggjorts. Offentliggörandet av dessa personuppgifter skedde därefter under förfarandet för överklagande av den österrikiska dataskyddsmyndighetens avslag på hans klagomål.

182.

Den hänskjutande domstolen har, genom sin sjunde fråga, för det första önskat få klarhet i huruvida ett klagomål som lämnats in enligt artikel 77 i dataskyddsförordningen avseende en påstådd överträdelse av rätten till radering (artikel 17 i dataskyddsförordningen), kan tas upp till prövning när den registrerades personuppgifter ännu inte hade behandlats när klagomålet lämnades in till tillsynsmyndigheten och denna ännu inte har beslutat om klagomålet.

183.

Den hänskjutande domstolen undrar, för det andra, om ett sådant klagomål kan tas upp till prövning i efterhand om det redan när klagomålet lämnades in fanns konkreta bevis för att den personuppgiftsansvariges behandling av personuppgifter var nära förestående eller skulle komma att äga rum inom en snar framtid.

Kan ett klagomål som lämnats in till tillsynsmyndigheten när personuppgifterna ännu inte har behandlats tas upp till prövning?

184.

I artikel 77.1 i dataskyddsförordningen föreskrivs att varje registrerad ”som anser att behandlingen av personuppgifter som avser henne eller honom strider mot denna förordning” ska ha rätt att lämna in ett klagomål till en tillsynsmyndighet.

185.

I enlighet med fast praxis från domstolen, ska jag vid tolkningen av denna bestämmelse inte bara beakta lydelsen, utan också sammanhanget och de mål som eftersträvas med de föreskrifter som bestämmelsen ingår i. ( 108 )

186.

För det första föreskrivs inte enligt lydelsen i artikel 77 i dataskyddsförordningen någon tidsfrist för att lämna in ett klagomål om behandling av personuppgifter. Ju tidigare klagomålet lämnas, för det fall behandlingen har gjorts och därefter bestrids, desto mer skyndsamt kan tillsynsmyndighetens prövning ske och desto tidigare kan den registrerades skydd säkerställas. ( 109 ) Däremot föreskrivs inte enligt lydelsen i artikel 77.1 i dataskyddsförordningen någon hypotetisk situation i vilken behandlingen ännu inte har skett. Det ska, i detta hänseende, påpekas att denna bestämmelse hänför till ordet ”strider” i presens, vilket förefaller innebära att behandlingen redan har skett, men att en kommande behandling inte, som sådan, är utesluten. ( 110 )

187.

För det andra ska, vad gäller sammanhanget, nämnas vilka uppdrag och befogenheter tillsynsmyndigheterna har. I detta hänseende ska, enligt artikel 57.1 f i dataskyddsförordningen, varje tillsynsmyndighet behandla klagomål från en registrerad och undersöka den sakfråga som klagomålet gäller och inom rimlig tid underrätta den enskilde om hur undersökningen fortskrider och om resultatet. Tillsynsmyndigheten ska således ”med vederbörlig omsorg” utreda ett sådant klagomål. ( 111 )

188.

Vidare ger artikel 58.1 i dataskyddsförordningen varje tillsynsmyndighet utredningsbefogenheter för att behandla de klagomål som lämnas in. När en sådan myndighet, efter sin utredning, konstaterar att det skett en överträdelse av denna förordning, är den skyldig att på lämpligt sätt agera för att avhjälpa den konstaterade bristen. I artikel 58.2 i dataskyddsförordningen anges, i detta syfte, de olika korrigerande befogenheter som tillsynsmyndigheten har för att vidta åtgärder. Den har i detta hänseende ett utrymme för skönsmässig bedömning i fråga om valet av lämpliga och nödvändiga åtgärder. ( 112 ) Bland tillsynsmyndighetens befogenheter enligt artikel 58.2 a i dataskyddsförordningen får den ”utfärda varningar” till en personuppgiftsansvarig eller personuppgiftsbiträdet om att ”planerade” behandlingar ”sannolikt kommer att” bryta mot bestämmelserna i dataskyddsförordningen, vilket ingår i ett synsätt som skulle kunna betecknas som ”skyddande” avseenden de registrerades rättigheter. ( 113 )

189.

Alla dessa krav och befogenheter för tillsynsmyndigheten har till syfte att förstärka förfarandet för klagomål i syfte att göra detta till en mekanism som är ägnad att på ett effektivt sätt skydda de registrerades rättigheter och intressen, det vill säga ”ett verkligt administrativt överklagande”. ( 114 )

190.

Det ska även, vad gäller sammanhanget, påpekas att den personuppgiftsansvarige, såsom kommissionen har understrukit, ska uppfylla vissa villkor och bland annat informera den registrerade innan behandlingen påbörjas. ( 115 )

191.

Jag anser således att ett skyddande eller förebyggande synsätt från tillsynsmyndigheternas sida vid behandlingen av klagomål i princip inte kan uteslutas i samband med dataskyddsförordningen.

192.

För det tredje bekräftas denna tolkning av målen med denna förordning. Det framgår nämligen av dess skäl 10 att detta har till syfte att säkra en hög skyddsnivå för fysiska personer vid behandling av personuppgifter inom unionen. I skäl 11 i denna förordning anges vidare att ett effektivt skydd av dessa personuppgifter förutsätter att de registrerades rättigheter förstärks.

193.

Att begränsa tillsynsmyndigheternas skyldighet att behandla klagomål, enligt artikel 57.1 f i dataskyddsförordningen, genom att tolka artikel 77.1 i denna förordning så att den utesluter varje möjlighet att lämna in ett klagomål till en tillsynsmyndighet ”för behandling” skulle emellertid strida mot målen med denna förordning, bland annat mot målet att säkerställa en hög skyddsnivå för fysiska personer avseende behandling av personuppgifter inom unionen.

194.

Jag anser således, mot denna bakgrund, att det inte kan uteslutas att ett klagomål som lämnas in enligt artikel 77 i dataskyddsförordningen kan tas upptill prövning, även om behandlingen av den registrerades personuppgifter ännu inte har skett vid den tidpunkt då dennes klagomål lämnas in till tillsynsmyndigheten.

195.

Jag anser emellertid, liksom kommissionen och den österrikiska regeringen, att den påstådda överträdelsen av dataskyddsförordningen ska vara lämpad för detta och att den berörda behandlingen, vilken i förevarande mål utgörs av offentliggörandet av personuppgifter, inte är rent hypotetiskt. ( 116 )

196.

I förevarande mål har en talan väckts vid domstolen, grundad på artikel 17 i dataskyddsförordningen, som avser ett klagomål i syfte att radera de aktuella personuppgifterna. Den berörda klaganden i det nationella målet (YT) har i detta hänseende preciserat att offentliggörandet av hans personuppgifter ”med största säkerhet var nära förestående”.

197.

Ett klagomål i syfte att få dessa personuppgifter raderade förutsätter emellertid (liksom exempelvis en begäran om rättelse av personuppgifter) att den aktuella hypotetiska behandlingen, i detta mål offentliggörandet av personuppgifter, har skett. Det förefaller nämligen omöjligt för den personuppgiftsansvarige att hörsamma ett sådant klagomål och radera uppgifter om dessa ännu inte har lämnats ut, såvida inte detta klagomål ska tolkas så, att det i realiteten har till syfte att hindra att dessa personuppgifter offentliggörs ( 117 ) (och inte att radera dessa uppgifter), vilket det ankommer på den hänskjutande domstolen att bedöma.

198.

Det ska tilläggas att en sådan tolkning inte utgör hinder för målen att säkerställa en hög nivå av skydd av personuppgifter, eftersom andra bestämmelser i dataskyddsförordningen gör det möjligt att svara på framtida begäran avseende behandling. Som den österrikiska regeringen har påpekat innebär nämligen artikel 79.1 i dataskyddsförordningen, om rätten till ett effektivt rättsmedel, att det i den nationella rätten förekommer processrättsliga förfaranden i händelse av hot avseende en överhängande inskränkning av de rättigheter som föreskrivs i dataskyddsförordningen. Detta omfattar möjligheten enligt österrikisk rätt att väcka förebyggande talan om upphörande innan behandlingen har påbörjats, eller om behandlingen har påbörjats, möjligheten att begära att den österrikiska myndigheten ska pröva en begränsning av denna behandling mot bakgrund av artikel 18 i dataskyddsförordningen.

199.

Således anser jag att det inte kan uteslutas att ett klagomål som lämnats in på grundval av artikel 77 i dataskyddsförordningen kan tas upp till prövning, trots att behandlingen av den registrerades personuppgifter ännu inte har utförts vid den tidpunkt då klagomålet lämnas in till tillsynsmyndigheten men inte är rent hypotetisk. Under omständigheterna i det nationella målet kan klagomålet, som grundar sig på den rätt till radering som föreskrivs i artikel 17 i dataskyddsförordningen, emellertid inte tas upp till prövning, eftersom det rör en behandling (i detta fall ett offentliggörande av den registrerades personuppgifter) som, även om den är överhängande, inte förelåg varken vid den tidpunkt då denna person lämnade in sitt klagomål till tillsynsmyndigheten, eller när denna tillsynsmyndighet fattade sitt beslut.

Kan ett klagomål som lämnas in till tillsynsmyndigheten tas upp till prövning i efterhand?

200.

Det ska påpekas att denna fråga rör tolkningen av artikel 77 i dataskyddsförordningen, som avser rätten att lämna in klagomål till tillsynsmyndigheten. Den hänskjutande myndigheten förefaller således önska få klarhet i huruvida ett sådant klagomål, som har förklarats inte kunna tas upp till prövning, kan prövas av tillsynsmyndigheten i efterhand, om den aktuella behandlingen (i förevarande mål utlämnande av uppgifter) sker medan ett mål om en talan mot denna tillsynsmyndighets beslut pågår vid appellationsdomstolen. Jag anser att det, i detta hänseende, ankommer på den nationella rättsordningen att reglera frågan om huruvida domstolen i andra instans i en sådan situation bör, eller ska, återförvisa frågan till tillsynsmyndigheten för en omprövning mot bakgrund av de nya omständigheterna, om det ankommer på den registrerade att återigen lämna in ett klagomål eller om domstolen i andra instans själv kan avgöra situationen i vilken klagomålets lämnats in, mot bakgrund av de nya faktiska omständigheter som i förevarande mål utgörs av att uppgifterna har offentliggjorts. I detta hänseende ska det effektiviteten i skyddet av de rättigheter som garanteras i dataskyddsförordningen samt en konsekvent och enhetlig tillämpning av dess bestämmelser säkerställas.

201.

Under förutsättning att den hänskjutande domstolens tolkningsfråga, såsom den österrikiska regeringen har anfört, ska tolkas så, att den rör huruvida ett sådant klagomål kan tas upp till prövning av domstolen i andra instans, rör det sig i detta fall om att undersöka konsekvenserna av de verkningar som är kopplade till en faktisk förändring, det vill säga den behandling som utgörs av ett offentliggörande av personuppgifter, som skett efter tillsynsmyndighetens beslut och trots att ett mål vid domstol, som har inletts på grundval av artikel 78 i dataskyddsförordningen, pågår angående en talan mot detta beslut, för det fall då det, när klagomålet lämnades in, fanns konkreta bevis för att en behandling av personuppgifter av den personuppgiftsansvarige var nära förestående eller skulle komma att äga rum inom en snar framtid.

202.

Det ska erinras om att lagstiftaren, inom ramen för dataskyddsförordningen, ingrep för att erbjuda olika rättsmedel för personer som gör gällande att förordningen har åsidosatts, varvid vart och ett av dessa rättsmedel ska kunna användas ”utan att det påverkar” övriga rättsmedel. ( 118 )

203.

Således föreskrivs i artikel 78.1 i dataskyddsförordningen att utan att det påverkar något annat administrativt prövningsförfarande eller prövningsförfarande utanför domstol ska varje fysisk eller juridisk person ha rätt till ett effektivt rättsmedel mot ett rättsligt bindande beslut rörande dem som meddelats av en tillsynsmyndighet. Av detta följer att domstolar som ska pröva en talan mot ett beslut från en tillsynsmyndighet bör ha fullständig behörighet, vilket bör omfatta behörighet att pröva alla fakta och rättsliga frågor som rör den tvist som anhängiggjorts vid dem. ( 119 ) För att ett rättsmedel som innebär en domstolsprövning av ett beslut som fattats av en tillsynsmyndighet ska vara ”effektivt”, såsom krävs enligt denna bestämmelse, måste ett sådant beslut omfattas av en fullständig domstolsprövning. ( 120 ) Vidare garanterar artikel 79.1 i denna förordning varje registrerad ett effektivt rättsmedel ”[u]tan att det påverkar tillgängliga administrativa prövningsförfaranden eller prövningsförfaranden utanför domstol, inbegripet rätten att lämna in ett klagomål till en tillsynsmyndighet i enlighet med artikel 77”.

204.

Det har visserligen redan konstaterats att unionslagstiftarens avsikt med att anta dataskyddsförordningen inte har varit att genomföra en uttömmande harmonisering av de rättsmedel som står till buds vid överträdelser av bestämmelserna i dataskyddsförordningen och som föreskrivs i artiklarna 77–79 i denna förordning. ( 121 ) I synnerhet föreskriver dataskyddsförordningen inga särskilda bestämmelser för det fall ett klagomål lämnas in till en tillsynsmyndighet och en talan samtidigt väcks vid en domstol i samma medlemsstat avseende samma behandling av personuppgifter.

205.

Även om unionslagstiftaren inte har haft för avsikt att genomföra en uttömmande harmonisering i detta hänseende, har denne inte heller önskat utesluta möjligheten, som nämns i den hänskjutande domstolens tolkningsfråga, att i efterhand kunna besluta att ett klagomål kan tas upp till prövning under sådana omständigheter som de som är aktuella i det nationella målet.

206.

I avsaknad av unionsbestämmelser på området ankommer det således på varje medlemsstat, enligt principen om medlemsstaternas processuella autonomi, att fastställa de regler för det administrativa förfarandet och domstolsförfarandet som syftar till att säkerställa skyddet av de rättigheter som enskilda har till följd av unionsrätten. Det ankommer, mot denna bakgrund, på medlemsstaterna att säkerställa ett effektivt skydd av de rättigheter som garanteras genom denna förordning, en konsekvent och enhetlig tillämpning av bestämmelserna i förordningen samt rätten till ett effektivt rättsmedel inför en domstol i den mening som avses i artikel 47 i stadgan. ( 122 )

207.

Det är följaktligen på grundval av nationella processuella bestämmelser som det ankommer på den hänskjutande domstolen att avgöra hur de rättsmedel som föreskrivs i de nationella bestämmelserna ska användas i varje enskilt fall. Den ska i detta hänseende säkerställa att de konkreta villkoren för att använda sig av rättsmedlen inte på ett oproportionerligt sätt påverkar rätten till ett effektivt rättsmedel inför en domstol. Den ska även säkerställa ett effektivt skydd av de rättigheter som garanteras genom denna förordning, samt att dessa villkor iakttar principerna om effektivitet och likvärdighet. ( 123 )

208.

Då den hänskjutande domstolen inte har preciserat vilka möjligheter dess nationella rätt erbjuder, anser jag att artikel 77.1 i dataskyddsförordningen, jämförd med artikel 78.1 i dataskyddsförordningen, ska tolkas så, att den inte utgör hinder för att ett klagomål, som tillsynsmyndigheten tidigare har ansett inte kunna tas upp till prövning, i efterhand tas upp till prövning, när behandlingen av personuppgifter äger rum medan ett domstolsförfarande pågår avseende samma faktiska omständigheter. Det ankommer på den nationella rättsordningen att, med iakttagande av principerna om likvärdighet och effektivitet, fastställa villkoren för ett sådant upptagande till sakprövning, såväl vid tillsynsmyndigheten som vid domstolarna, i syfte att säkerställa effektiviteten av skyddet av de rättigheter som garanteras i dataskyddsförordningen, en konsekvent och enhetlig tillämpning av dess bestämmelser samt rätten till ett effektivt rättsmedel vid en domstol.

Slutsats avseende den sjunde tolkningsfrågan

209.

Mot denna bakgrund förslår jag att domstolen ska besvara den sjunde tolkningsfrågan så att artikel 77 i dataskyddsförordningen ska tolkas så, att ett klagomål, grundat på artikel 17 i dataskyddsförordningen (påstådd överträdelse av rätten till radering) inte kan tas upp till sakprövning när det gäller en behandling som avser ett offentliggörande av den registrerades personuppgifter som, även om den är nära förestående, varken existerade vid den tidpunkt då denne registrerade lämnade in klagomålet till tillsynsmyndigheten, eller vid den tidpunkt då denna myndighet antog beslutet. Detta ska emellertid inte påverka eventualiteten av ett upptagande till prövning av ett klagomål som avser en behandling av personuppgifter som inte är rent hypotetisk och som avser en förebyggande eller skyddande åtgärd från tillsynsmyndighetens sida.

210.

Vidare utgör artikel 77 i dataskyddsförordningen, jämförd med artikel 78.1 i denna förordning, inte hinder för att ett klagomål som tidigare har avvisats av tillsynsmyndigheten ska anses kunna tas upp till prövning, när behandlingen av uppgifterna äger rum medan ett domstolsförfarande pågår angående en talan som väckts vid denna domstol och som avser samma faktiska omständigheter. Det ankommer på den nationella rättsordningen att, med iakttagande av principerna och likvärdighet och effektivitet, fastställa villkoren för ett sådant upptagande till prövning, såväl vid tillsynsmyndigheten som vid domstolarna, på ett sådant sätt att effektiviteten i skyddet av de rättigheter som garanteras i dataskyddsförordningen, samt en konsekvent och enhetlig tillämpning av dessa bestämmelser och rätten till ett effektivt rättsmedel inför en domstol garanteras.

Förslag till avgörande

211.

Mot bakgrund av det ovan anförda, föreslår jag att domstolen ska besvara de tolkningsfrågor som Bundesverwaltungsgericht (Federala förvaltningsdomstolen, Österrike) har ställt enligt följande:

–

att ett klagomål, grundat på artikel 17 i förordning 2016/679 (påstådd överträdelse av rätten till radering) inte kan tas upp till sakprövning när det gäller en behandling som avser ett offentliggörande av den registrerades personuppgifter som, även om den är nära förestående, varken existerade vid den tidpunkt då denne registrerade lämnade in klagomålet till tillsynsmyndigheten, eller vid den tidpunkt då denna myndighet antog beslutet. Detta ska emellertid inte påverka eventualiteten av ett upptagande till prövning av ett klagomål som avser en behandling av personuppgifter som inte är rent hypotetisk och som avser en förebyggande eller skyddande åtgärd från tillsynsmyndighetens sida, och

–

att jämförd med artikel 78.1 i förordning 2016/679, utgör den inte hinder för att ett klagomål som tidigare har avvisats av tillsynsmyndigheten ska anses kunna tas upp till prövning, när behandlingen av uppgifterna äger rum medan ett domstolsförfarande pågår angående en talan som väckts vid denna domstol och som avser samma faktiska omständigheter. Det ankommer på den nationella rättsordningen att, med iakttagande av principerna om likvärdighet och effektivitet, fastställa villkoren för ett sådant upptagande till prövning, såväl vid tillsynsmyndigheten som vid domstolarna, på ett sådant sätt att effektiviteten i skyddet av de rättigheter som garanteras i förordning 2016/679, samt en konsekvent och enhetlig tillämpning av dessa bestämmelser och att rätten till ett effektivt rättsmedel inför en domstol garanteras.