I.

Indledning

1.

Reglerne på idrætsområdet befinder sig i grænseområdet mellem flere normative kilder. Et eksempel er antidopingreglerne, som er resultatet af en samproduktion af private og offentlige regler. Bl.a. er den internationale antidopingkodeks (WADC), som blev vedtaget i henhold til Det Internationale Antidopingagenturs (WADA) vedtægter, et privat instrument, som de kontraherende stater har forpligtet sig til at overholde gennem FN’s internationale konvention mod doping i idræt  ( 2 ). Dette regelsæt, der har til formål at harmonisere idrætsorganisationers og offentlige myndigheders antidopingpolitik, ‑regler og ‑bestemmelser over hele verden, udgør således et meget specifikt tværnationalt retssystem gældende for denne sektor  ( 3 ).

2.

Domstolen er tidligere blevet anmodet om at tage stilling til, om regler på idrætsområdet er forenelige med EU-retten, navnlig i forhold til den frie udveksling af tjenesteydelser eller konkurrence  ( 4 ).

3.

Den foreliggende sag giver Domstolen en ny  ( 5 ) mulighed for at overveje visse aspekter af antidopingreglerne i lyset af kravene i forbindelse med beskyttelse af personoplysninger. Det drejer sig således om at forene på den ene side de krav, der vedrører etik inden for idræt, som i dette tilfælde indebærer offentliggørelse online, med angivelse af navn, af de sanktioner, der pålægges idrætsudøvere, når de overtræder antidopingreglerne, og på den anden side beskyttelsen af disse idrætsudøveres personoplysninger, der følger af forordning (EU) 2016/679 (herefter »databeskyttelsesforordningen«)  ( 6 ).

4.

På et tidspunkt, hvor WADC er ved at blive revideret  ( 7 ), vil den kommende dom kunne få betydning ud over de europæiske grænser.

Retsforskrifter

EU-retten

5.

I henhold til artikel 16, stk. 1, TEUF har enhver ret til beskyttelse af personoplysninger om vedkommende selv. Bestemmelsens stk. 2 fastsætter, at »Europa-Parlamentet og Rådet [...] efter den almindelige lovgivningsprocedure [fastsætter] regler for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger foretaget af Unionens institutioner, organer, kontorer og agenturer samt af medlemsstaterne under udøvelse af aktiviteter, der er omfattet af EU-retten, og regler for den frie udveksling af personoplysninger. Overholdelsen af disse regler kontrolleres af uafhængige myndigheder«.

6.

Artikel 165 TEUF bestemmer i stk. 2, at målene for Unionens indsats navnlig er »at udvikle sportens europæiske dimension ved at fremme retfærdighed og åbenhed i sportskonkurrencer og samarbejde mellem de organisationer og myndigheder, der har ansvar for sport, samt ved at beskytte sportsudøvernes, især de yngstes, fysiske og moralske integritet«. Med henblik herpå fastsættes det i stk. 4, at »Rådet på forslag af Kommissionen [vedtager] henstillinger«.

7.

Det fremgår af 35. betragtning til databeskyttelsesforordningen, at »[h]elbredsoplysninger bør omfatte alle personoplysninger om den registreredes helbredstilstand, som giver oplysninger om den registreredes tidligere, nuværende eller fremtidige fysiske eller mentale helbredstilstand. Dette omfatter oplysninger om den fysiske person indsamlet i løbet af registreringen af denne med henblik på [...] levering af sundhedsydelser [...]; et nummer, symbol eller særligt mærke, der tildeles en fysisk person for entydigt at identificere den fysiske person til sundhedsformål; oplysninger, der hidrører fra prøver eller undersøgelser af en legemsdel eller legemlig substans, herunder fra genetiske data og biologiske prøver; og enhver oplysning om f.eks. en sygdom, et handicap, en sygdomsrisiko, en sygehistorie, en sundhedsfaglig behandling eller den registreredes fysiologiske eller biomedicinske tilstand uafhængigt af kilden hertil, f.eks. fra en læge eller anden sundhedsperson, et hospital, medicinsk udstyr eller in vitro-diagnostik«.

8.

Databeskyttelsesforordningens artikel 2 med overskriften »Materielt anvendelsesområde« fastsætter i stk. 1, at »[d]enne forordning finder anvendelse på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling, og på anden ikke-automatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register«. Det fremgår af databeskyttelsesforordningens artikel 2, stk. 2, litra a), at denne forordning ikke gælder for behandling af personoplysninger »under udøvelse af aktiviteter, der falder uden for EU-retten«.

9.

Databeskyttelsesforordningens artikel 4 med overskriften »Definitioner« bestemmer i nr. 15), at der i denne forordning ved »helbredsoplysninger« forstås personoplysninger, der vedrører en fysisk persons fysiske eller mentale helbred, herunder levering af sundhedsydelser, og som giver information om vedkommendes helbredstilstand«.

10.

Denne forordnings artikel 5 med overskriften »Principper for behandling af personoplysninger« fastsætter:

11.

Forordningens artikel 6 med overskriften »Lovlig behandling« bestemmer følgende:

12.

Databeskyttelsesforordningens artikel 9 med overskriften »Behandling af særlige kategorier af personoplysninger« forbyder i stk. 1 bl.a. behandling af helbredsoplysninger. Det fremgår af samme forordnings artikel 9, stk. 2, litra g), at stk. 1 ikke finder anvendelse, hvis »[b]ehandling er nødvendig af hensyn til væsentlige samfundsinteresser på grundlag af EU-retten eller medlemsstaternes nationale ret og står i rimeligt forhold til det mål, der forfølges, respekterer det væsentligste indhold af retten til databeskyttelse og sikrer passende og specifikke foranstaltninger til beskyttelse af den registreredes grundlæggende rettigheder og interesser«.

13.

Databeskyttelsesforordningens artikel 10 med overskriften »Behandling af personoplysninger vedrørende straffedomme og lovovertrædelser« bestemmer, at »[b]ehandling af personoplysninger vedrørende straffedomme og lovovertrædelser [...] kun [må] foretages under kontrol af en offentlig myndighed, eller hvis behandling har hjemmel i EU-retten eller medlemsstaternes nationale ret, som giver passende garantier for registreredes rettigheder og frihedsrettigheder. Ethvert omfattende register over straffedomme må kun føres under kontrol af en offentlig myndighed«.

14.

Databeskyttelsesforordningens artikel 77 med overskriften »Ret til at indgive klage til en tilsynsmyndighed« bestemmer i stk. 1:

15.

Databeskyttelsesforordningens artikel 78 med overskriften »Adgang til effektive retsmidler over for en tilsynsmyndighed« bestemmer i stk. 1:

Østrigsk ret

16.

Det fremgår af § 5, stk. 5, i Anti-Doping-Bundesgesetz 2021 (den føderale antidopinglov fra 2021) af 23. december 2020 (BGBl. I, 152/2020) (herefter »ADBG«), at Nationale Anti-Doping Agentur Austria GmbH (det nationale antidopingagentur, Østrig, herefter »NADA«) er et almennyttigt anpartsselskab, der fungerer som et uafhængigt dopingkontrolorgan og er ansvarligt for behandlingen af personoplysninger.

17.

I henhold til ADBG’s § 5, stk. 6, nr. 4, underretter NADA Bundes-Sportorganisation (Østrigs føderale idrætsorganisation), idrætsorganisationer, idrætsudøvere, øvrige personer og konkurrencearrangører samt stiller vederlagsfrit oplysninger til rådighed for offentligheden om »sikkerhedsforanstaltninger (f.eks. suspenderinger) og udelukkelser af idrætsudøvere og øvrige personer, som kommer til [dets] kendskab, og ophævelse af disse, med angivelse af de pågældende personers navne, udelukkelsens varighed og grundene hertil, uden at det er muligt at udlede særlige kategorier af personoplysninger, navnlig helbredsoplysninger, om de berørte personer. Er der tale om særligt sårbare personer samt motionsidrætsudøvere, kan denne information undlades [...]«.

18.

ADBG’s § 6, stk. 2, bestemmer bl.a., at NADA som omhandlet i databeskyttelsesforordningens artikel 32-34 skal sørge for personoplysningernes og de særlige kategorier af personoplysningers sikkerhed. Denne bestemmelse præciserer, at »[d]atabehandlingen er nødvendig af hensyn til en effektiv gennemførelse af [WADC’s] antidopingregler og denne forbundslovs bestemmelser, såfremt de registrerede ved kontrakt har forpligtet sig til at overholde WADC«. Endvidere »[må] særlige kategorier af personoplysninger, navnlig helbredsoplysninger, [...] kun behandles, hvis dette er absolut nødvendigt på grund af antidopingreglerne i denne forbundslov eller WADC«.

19.

Österreichische Anti-Doping Rechtskommission (det østrigske antidopingretsudvalg, herefter »ÖADR«) er et offentligt udvalg, der er uafhængigt af statslige organer, enkeltpersoner og NADA, som i henhold til ADBG’s § 7, stk. 1, »skal gennemføre disciplinærsager for den respektive kompetente forbundsidrætsorganisation i henhold til den kompetente internationale idrætsorganisations antidopingregler (antidopingprocedure)«.

20.

I henhold til ADBG’s § 21, stk. 3, skal ÖADR, »senest 20 dage efter at afgørelsen har opnået retskraft, underrette Bundes-Sportorganisation [(den føderale idrætsorganisation)], idrætsorganisationer, idrætsudøvere, øvrige personer og arrangører af konkurrencer samt offentligheden om pålagte sanktioner (f.eks. suspenderinger) og afgørelser i antidopingsager med angivelse af den berørte persons navn, varigheden af suspenderingen og grundene hertil, uden at det er muligt at udlede helbredsoplysninger om den berørte person. Er der tale om særligt sårbare personer, motionsidrætsudøvere samt personer, der ved meddelelse af oplysninger eller andre informationer i væsentligt omfang har bidraget til at afsløre potentielle overtrædelser af antidopingregler, kan denne underretning undlades. Slås det fast, at der foreligger en overtrædelse af antidopingregler i henhold til § 1, stk. 2, nr. 3 og 9-11, skal afgørelsen af hensyn til folkesundheden gøres offentligt tilgængelig, såfremt der er tale om motionsidrætsudøvere«.

21.

Det fremgår i det væsentlige af ADBG’s § 23, stk. 14, at de samme forpligtelser gælder for Unabhängige Schiedskommission (det uafhængige voldgiftsudvalg, Østrig, herefter »USK«).

Tvisten i hovedsagen, de præjudicielle spørgsmål og retsforhandlingerne for Domstolen

22.

I forbindelse med antidopingprocedurer blev idrætsudøverne AR, YT, DI og RN (herefter »sagsøgerne«) genstand for afgørelser om suspendering (for en bestemt periode eller livsvarigt, alt efter omstændighederne), som enten blev truffet af ÖADR, der har beføjelse til at gennemføre antidopingprocedurer, eller af USK, der har beføjelse til at kontrollere ÖADR’s afgørelser.

23.

I henhold til østrigsk antidopinglovgivning offentliggøres suspenderinger, der er besluttet af ÖADR eller USK, af NADA i en liste på selskabets websted. Under hele suspenderingens varighed indeholder denne liste den pågældende idrætsudøvers for- og efternavn, den udøvede sportsgren, den begåede overtrædelse af antidopingreglerne, den pålagte sanktion samt sanktionens begyndelse og ophør. ÖADR offentliggør ligeledes de samme oplysninger samt det forbudte aktivstof, der eventuelt er tale om, ved en pressemeddelelse på ÖADR’s eget websted.

24.

Den 14. og 15. oktober 2021 anmodede sagsøgerne ÖADR og NADA om ikke længere at anføre deres respektive navne og idrætsdiscipliner. ÖADR og NADA efterkom ikke disse anmodninger.

25.

Den 22. oktober 2021 indgav sagsøgerne en klage til Österreichische Datenschutzbehörde (den østrigske databeskyttelsesmyndighed, Østrig) (herefter »den østrigske databeskyttelsesmyndighed«) i henhold til databeskyttelsesforordningens artikel 77, stk. 1, med påstand om, at det blev fastslået, at retten til sletning og begrænsning af oplysninger var blevet tilsidesat, og at ÖADR og NADA blev pålagt ikke længere at offentliggøre deres navne og idrætsgrene på de nævnte websteder. De gjorde ligeledes gældende, at der var tale om en særlig kategori af personoplysninger og en behandling af personoplysninger vedrørende straffedomme og lovovertrædelser som omhandlet i henholdsvis artikel 9 og 10 i databeskyttelsesforordningen. Den ordning med udifferentieret offentliggørelse, der er fastsat i østrigsk ret, er ifølge disse sagsøgere uforenelig med databeskyttelsesforordningens artikel 6, stk. 3, og er hverken nødvendig eller forholdsmæssig.

26.

Den 26. november 2021 afviste den østrigske databeskyttelsesmyndighed klagen som ubegrundet. Hvad nærmere bestemt angår YT blev dennes klage afvist på grund af manglende søgsmålsinteresse med den begrundelse, at vedkommendes oplysninger endnu ikke var blevet offentliggjort.

27.

Sagsøgerne anlagde herefter sag ved Bundesverwaltungsgericht (forbundsdomstol i forvaltningsretlige sager, Østrig), den forelæggende ret, på grundlag af databeskyttelsesforordningens artikel 78, stk. 1. I denne forbindelse gjorde NADA, den første sagsøgte i hovedsagen, gældende, at offentliggørelsen af personoplysningerne på agenturets websted var nødvendig for at overholde en retlig forpligtelse, som påhvilede det, og for udførelsen af en opgave i samfundets interesse som omhandlet i databeskyttelsesforordningens artikel 6, stk. 1, litra c) og e).

28.

Den forelæggende ret besluttede at udsætte hovedsagen på grund af USK’s indgivelse af anmodningen om præjudiciel afgørelse i sagen NADA m.fl.  ( 8 ). Efter at denne anmodning var blevet afvist ved dom af 7. maj 2024  ( 9 ), blev den nationale sag for den forelæggende ret genoptaget.

29.

På denne baggrund har Bundesverwaltungsgericht (forbundsdomstol i forvaltningsretlige sager) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

30.

Sagsøgerne i hovedsagen, NADA, den østrigske databeskyttelsesmyndighed, Kommissionen samt den østrigske, den lettiske, den nederlandske, den polske og den finske regering har indgivet skriftlige indlæg. Sagsøgerne i hovedsagen, NADA, Kommissionen samt den østrigske, den lettiske og den finske regering har ligeledes afgivet mundtlige indlæg i det offentlige retsmøde, der blev afholdt den 13. maj 2025.

Bedømmelse

31.

Jeg vil først behandle det første spørgsmål om, hvorvidt databeskyttelsesforordningen finder anvendelse, og derefter analysere det andet, det femte og det sjette spørgsmål, der vedrører visse særlige oplysninger, inden jeg behandler spørgsmålet om proportionalitetsprincippet (det tredje og det fjerde spørgsmål). Til sidst vil jeg behandle det syvende spørgsmål, som er af mere proceduremæssig karakter.

Det første spørgsmål

32.

Med det første spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om gennemførelsen af antidopinglovgivningen udgør en »aktivitet«, der er omfattet af »EU-retten« som omhandlet i artikel 16, stk. 2, første punktum, TEUF.

33.

Svaret på dette spørgsmål har stor betydning, eftersom databeskyttelsesforordningen i benægtende fald ikke finder anvendelse på tvisten i hovedsagen. Databeskyttelsesforordningen, der er vedtaget på grundlag af artikel 16 TEUF, udelukker således ved artikel 2, stk. 2, litra a), behandling af personoplysninger under udøvelse af aktiviteter, »der falder uden for EU-retten«, fra sit anvendelsesområde.

34.

Indledningsvis vil jeg gerne – selv om den forelæggende ret ikke har nævnt den – gøre opmærksom på, at undtagelsen i databeskyttelsesforordningens artikel 2, stk. 2, litra d), fastsætter, at denne forordning ikke gælder for behandling af personoplysninger »som foretages af kompetente myndigheder med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner [...]«. Grunden til denne undtagelse er, at de »kompetente myndigheders« behandling af personoplysninger med dette formål er genstand for en mere specifik EU-retsakt, nemlig direktiv (EU) 2016/680  ( 10 ), som blev vedtaget samme dag som databeskyttelsesforordningen. Det er på nuværende tidspunkt ikke udelukket, at det materielle kriterium for denne undtagelse kan være opfyldt i den foreliggende sag. Spørgsmålet om, hvorvidt den i den foreliggende sag omhandlede behandling af oplysninger foretages med de formål, der er omhandlet i databeskyttelsesforordningens artikel 2, stk. 2, litra d), henviser således til genstanden for det femte præjudicielle spørgsmål (vedrørende databeskyttelsesforordningens artikel 10) om, hvorvidt de domme og lovovertrædelser, der er genstand for den omhandlede behandling af oplysninger, har strafferetlig karakter. Det organiske kriterium for undtagelsen i databeskyttelsesforordningens artikel 2, stk. 2, litra d), er imidlertid ikke nævnt: Er NADA og ÖADR »kompetente myndigheder« som omhandlet i artikel 3, stk. 7, i direktiv 2016/680? I benægtende fald finder databeskyttelsesforordningen anvendelse, hvilket vil være min arbejdshypotese i min videre analyse. I bekræftende fald, og såfremt det materielle kriterium ligeledes er opfyldt, opstår derimod spørgsmålet om, hvorvidt direktiv 2016/680 finder anvendelse i stedet for databeskyttelsesforordningen, hvilket det påhviler den forelæggende ret at efterprøve.

35.

Efter denne bemærkning skal det anføres, at det i det foreliggende tilfælde er ubestridt, at den omhandlede behandling af personoplysninger, som de østrigske antidopingmyndigheder har foretaget, og som består i offentliggørelse på internettet af de berørte idrætsudøveres navn, den udøvede sportsgren, den begåede overtrædelse af antidopingreglerne, sanktionen samt sanktionens begyndelse og ophør, svarer til den behandling, hvorpå databeskyttelsesforordningen finder anvendelse i henhold til denne forordnings artikel 2, stk. 1, dvs. behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling  ( 11 ).

36.

Det mere kontroversielle spørgsmål er, om denne behandling er omfattet af undtagelsen i databeskyttelsesforordningens artikel 2, stk. 2, litra a).

37.

I min analyse vil jeg først henvise til princippet om en streng fortolkning af undtagelsen i databeskyttelsesforordningens artikel 2, stk. 2, litra a), og derefter drage konsekvenserne heraf med hensyn til antidopingforanstaltningerne på baggrund af NADA’s argumenter.

Streng fortolkning af undtagelsen i databeskyttelsesforordningens artikel 2, stk. 2, litra a)

38.

I overensstemmelse med fast retspraksis skal undtagelsen i databeskyttelsesforordningens artikel 2, stk. 2, litra a), fortolkes strengt, for så vidt som den bevirker, at den ordning med beskyttelse af personoplysninger, der er fastsat i databeskyttelsesforordningen, ikke kan anvendes, og således afviger fra formålet om beskyttelse  ( 12 ).

39.

Som det i det væsentlige er anført i sjette til tolvte betragtning til databeskyttelsesforordningen, kræver den hastige teknologiske udvikling, globaliseringen og omfanget af indsamlingen og delingen af personoplysninger en stærk og sammenhængende databeskyttelsesramme i Unionen, der sikrer et højt beskyttelsesniveau for fysiske personers rettigheder og frihedsrettigheder i forbindelse med behandling af sådanne oplysninger, som er ensartet i alle medlemsstater, og som understøttes af effektiv håndhævelse, således at der skabes den tillid, der gør det muligt, at den digitale økonomi kan udvikle sig på det indre marked.

40.

Ud fra denne synsvinkel er databeskyttelsesforordningens materielle anvendelsesområde, som er fastsat i artikel 2, nødvendigvis bredt, og de undtagelser, der fremgår af forordningen, skal fortolkes strengt. Domstolen har således fastslået, at databeskyttelsesforordningens artikel 2, stk. 2, litra a), sammenholdt med 16. betragtning hertil, alene har til formål at udelukke behandling af personoplysninger under udøvelse af en aktivitet, som tilsigter at beskytte statens sikkerhed, eller en aktivitet, som kan henføres til samme kategori, fra anvendelsesområdet for denne forordning.

41.

Aktiviteter, som har til formål at beskytte den nationale sikkerhed, omfatter navnlig de aktiviteter, hvis formål er at beskytte centrale statslige funktioner og samfundets grundlæggende interesser  ( 13 ).

42.

Det er derimod ikke personer som sådan, der udelukkes fra databeskyttelsesforordningens anvendelsesområde, men alene deres aktiviteter  ( 14 ). Den omstændighed alene, at en aktivitet er statens eller en offentlig myndigheds, er således ikke tilstrækkelig til, at denne undtagelse automatisk finder anvendelse på denne aktivitet  ( 15 ). Det er heller ikke tilstrækkeligt, at den, der foretager den pågældende behandling, udfører aktiviteter vedrørende statens sikkerhed, eftersom det alene er den pågældende aktivitet i forbindelse med den omhandlede behandling, der er relevant  ( 16 ). Det er ligeledes ikke tilstrækkeligt, at de omhandlede oplysninger i forbindelse med en overførsel af oplysninger, som foretages til forretningsmæssige formål, under eller efter overførslen kan blive behandlet af det pågældende tredjelands myndigheder af hensyn til den offentlige sikkerhed, forsvaret og statens sikkerhed  ( 17 ).

43.

Som den østrigske regering har fremhævet, bestemmer ADBG’s § 1, stk. 1, i det foreliggende tilfælde imidlertid, at »doping påvirker de sportslige præstationer og er derfor i strid med princippet om fairness i sportskonkurrencer og med sportens oprindelige værdier (sportsånd), samtidig med at det kan være sundhedsskadeligt«.

44.

Det kan derfor ikke hævdes, at NADA’s og ÖADR’s offentliggørelse af personoplysninger udgør behandling af oplysninger i forbindelse med en aktivitet, i det foreliggende tilfælde dopingbekæmpelse, vedrørende statens sikkerhed, eller som kan henføres til denne kategori som omhandlet i databeskyttelsesforordningens artikel 2, stk. 2, litra a).

45.

Det må heraf konkluderes, at undtagelsen baseret på denne bestemmelse i databeskyttelsesforordningen ikke finder anvendelse på den behandling af oplysninger, der er omhandlet i den foreliggende sag.

46.

NADA’s argumenter, der dels er baseret på den omstændighed, at antidopingaktiviteter henhører under medlemsstaterne, dels på den omstændighed, at disse aktiviteter ikke er af økonomisk karakter, kan ikke afkræfte denne konstatering, hvilket jeg vil påvise i det følgende.

Antidopingaktiviteter er ikke undtaget fra databeskyttelsesforordningen...

–

... selv om de henhører under medlemsstaterne

47.

For det første har NADA gjort gældende, at antidopingpolitik er et område, der i henhold til den kompetencefordeling, der er fastsat i EU-retten, fortsat hører under medlemsstaternes kompetence, uanset den understøttende kompetence på sportsområdet, der er fastsat i artikel 165 TEUF.

48.

Den omstændighed, at behandlingen af personoplysninger finder sted som led i en aktivitet, der henhører under medlemsstaternes kompetence, er imidlertid ikke i sig selv relevant med henblik på at udelukke denne behandling fra databeskyttelsesforordningens anvendelsesområde på grundlag af forordningens artikel 2, stk. 2, litra a), da den hverken henhører under en aktivitet, som tilsigter at beskytte statens sikkerhed, eller en aktivitet, som kan henføres til samme kategori  ( 18 ).

49.

At udelukke behandling, der foretages i forbindelse med en aktivitet, fra databeskyttelsesforordningens anvendelsesområde med den begrundelse alene, at denne aktivitet henhører under medlemsstaternes kompetence, ville efter min opfattelse være i strid med både denne forordnings ordlyd, den sammenhæng, hvori den indgår, og dens formål.

50.

Når databeskyttelsesforordningens artikel 2, stk. 2, litra a), i sin ordlyd anvender udtrykket »aktiviteter, der falder uden for EU-retten«, henviser den således ikke til en logik, der drejer sig om kompetencer, men til en materiel logik, der drejer sig om lovgivers definition af anvendelsesområdet, i selve databeskyttelsesforordningen, på grundlag af artikel 16, stk. 2, TEUF. Denne bestemmelse fastsætter en lovgivningsmæssig kompetence, der uddelegeres til Unionen, for så vidt angår beskyttelse og fri udveksling af personoplysninger, og fastlægger til dette formål et specifikt anvendelsesområde  ( 19 ). Desuden har begrebet »EU-retten« i den særlige forbindelse, hvor der er tale om beskyttelse af personoplysninger, navnlig henset til de selvstændige problematikker, der er forbundet med behandling af disse oplysninger, som har krævet en særlig lovgivning, et mere vidtrækkende anvendelsesområde end »EU-rettens gennemførelse« som omhandlet i artikel 51 i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«)  ( 20 ). Endelig er »EU-retten på mange områder, der henhører under medlemsstaternes kompetence, ikke uden betydning«  ( 21 ). Dette er navnlig tilfældet for databeskyttelsesforordningen, hvis anvendelsesområde, horisontalt set, nødvendigvis er bredt, henset til dens formål som anført i dette forslag til afgørelses punkt 39.

51.

Selv om antidoping ikke er en aktivitet, som er reguleret ved en EU-retsakt, og den henhører under medlemsstaterne, kan det således ikke heraf udledes, at den behandling, der foretages i forbindelse med antidopingaktiviteter, falder »uden for EU-retten« som omhandlet i databeskyttelsesforordningens artikel 2, stk. 2, litra a), som fortolket af Domstolen specifikt i sammenhæng med databeskyttelsesforordningen.

52.

I øvrigt har sport, siden Lissabontraktaten trådte i kraft, været en understøttende kompetence, som er tillagt Unionen  ( 22 ). Artikel 165, stk. 2, TEUF fastsætter således, at »[m]ålene for Unionens indsats [...] er at udvikle sportens europæiske dimension ved at fremme retfærdighed og åbenhed i sportskonkurrencer og samarbejde mellem de organisationer og myndigheder, der har ansvar for sport, samt ved at beskytte sportsudøvernes, især de yngstes, fysiske og moralske integritet«. Denne ordlyd henviser navnlig til antidopingpolitik. En sådan understøttende kompetence giver ganske vist ikke Unionen kompetence til at lovgive på sportsområdet. Selv om Unionens aktivitet ikke er lovgivende, findes den imidlertid og giver Unionen mulighed for at vedtage retsakter med det formål at understøtte, koordinere eller supplere medlemsstaternes tiltag i overensstemmelse med artikel 6 TEUF  ( 23 ). Antidopingreglernes sportsrelaterede karakter giver derfor ikke mulighed for at lægge til grund, at gennemførelsen af disse er en aktivitet, som falder uden for EU-retten som omhandlet i databeskyttelsesforordningens artikel 2, stk. 2, litra a).

–

... og på trods af deres »manglende« økonomiske karakter

53.

For det andet har NADA gjort gældende, at idrætsudøvelse kun er omfattet af EU-retten, for så vidt som den udgør økonomisk virksomhed. De omhandlede antidopingregler er baseret på rent sportslige hensyn, og den i den foreliggende sag omhandlede behandling af oplysninger er således ikke et spørgsmål, der henhører under økonomisk virksomhed, og falder derfor uden for EU-retten.

54.

Jeg finder heller ikke dette argument om, at antidopingreglerne kan »skilles ud« fra andre regler, overbevisende.

55.

Argumentet om, at »sportsudøvelse [alene] hører […] under fællesskabsretten, for så vidt den er en økonomisk virksomhed i den i [EF-]traktatens artikel 2 forudsatte betydning«, henviser således til dom af 12. december 1974, Walrave og Koch  ( 24 ). Siden da har Unionen imidlertid udøvet sin kompetence på databeskyttelsesområdet på grundlag af artikel 16 TEUF. Det var således medlemsstaternes hensigt også at anvende EU-retten om beskyttelse af personoplysninger, på ikke-økonomiske områder, således som det fremgår af både databeskyttelsesforordningens ordlyd, den sammenhæng, hvori den indgår, og dens formål.

56.

For det første fastlægger ordlyden af databeskyttelsesforordningens artikel 2, stk. 2, litra a), denne forordnings materielle anvendelsesområde ved brug af begrebet »aktiviteter« og ikke »økonomiske aktiviteter«, der falder inden for eller uden for EU-retten.

57.

For det andet bekræfter den sammenhæng, hvori databeskyttelsesforordningen indgår, og navnlig dens bestemmelser om overførsel af personoplysninger til tredjelande eller internationale organisationer (databeskyttelsesforordningens kapitel V), denne ordlydsfortolkning. Selv om betingelserne for, at en sådan overførsel kan finde sted, ikke er opfyldt, kan undtagelser i særlige situationer, der er fastsat i databeskyttelsesforordningens artikel 49, ikke desto mindre tillade en sådan overførsel. Det fremgår imidlertid udtrykkeligt af 112. betragtning til databeskyttelsesforordningen, at fravigelserne i disse særlige situationer »navnlig [bør] gælde for overførsel af oplysninger, der foretages af hensyn til vigtige samfundsinteresser, f.eks. international udveksling af oplysninger [...] for at nedbringe og/eller afskaffe doping inden for sport«. Som den finske regering har fremhævet, fremgår det af denne betragtning, at EU-lovgiver ikke fandt, at behandling af personoplysninger inden for antidopingkontrol – skønt den vedrører en ikke-økonomisk aktivitet – faldt uden for den nævnte forordnings anvendelsesområde.

58.

Endelig er kriteriet, der er baseret på en tilknytning til EU-retten gennem en økonomisk aktivitet, efter min opfattelse heller ikke relevant, henset til de formål, der forfølges med databeskyttelsesforordningen. Et sådant kriterium ville således føre til, at databeskyttelsesforordningens anvendelsesområde skulle fastlægges fra sag til sag, alt efter om den pågældende behandling af oplysninger havde en tilknytning til særlige EU-retlige bestemmelser eller til de frihedsrettigheder, der gælder for det indre marked, eller ej. En risiko ved en sådan fortolkning, der varierer alt efter de konkrete situationer, ville være, at grænserne for nævnte forordnings anvendelsesområde ville blive usikre og uberegnelige  ( 25 ) i strid med forordningens væsentlige formål, nemlig at sikre, at reglerne for beskyttelse anvendes konsekvent og ensartet overalt i Unionen, og fjerne hindringerne for udveksling af personoplysninger inden for Unionen.

59.

Jeg vil desuden tilføje, at man i det mindste hvad angår professionelle idrætsudøvere ikke kan udelukke en forbindelse mellem antidopingreglerne og deres erhvervsmæssige aktiviteter og dermed en økonomisk tilknytning til bl.a. den frie bevægelighed og den frie udveksling af tjenesteydelser  ( 26 ). De pålagte sanktioner kan nemlig medføre ikke ubetydelige økonomiske konsekvenser som følge af idrætsudøvernes suspendering, som i nogle tilfælde er livsvarig. Såfremt en sådan økonomisk tilknytning skulle lægges til grund ved fastlæggelsen af databeskyttelsesforordningens anvendelsesområde, ville det føre til det temmelig utilfredsstillende resultat, at databeskyttelsesforordningen f.eks. kunne finde anvendelse på professionelle idrætsudøvere, men ikke på motionsidrætsudøvere  ( 27 ). En sådan forskel i behandlingen alt efter, om aktiviteten anses for økonomisk eller ej, kan dårligt forenes med databeskyttelsesforordningen og dens beskyttelsesformål hvad angår personoplysninger.

Forslag til besvarelse af det første spørgsmål

60.

På baggrund af det ovenstående foreslår jeg, at Domstolen besvarer det første spørgsmål således, at artikel 16, stk. 2, første punktum, TEUF og databeskyttelsesforordningens artikel 2, stk. 2, litra a), skal fortolkes således, at behandling af personoplysninger, der i henhold til nationale antidopingregler består i offentliggørelse af de berørte idrætsudøveres navn, den udøvede sportsgren, den begåede overtrædelse af antidopingregler, sanktionen samt sanktionens begyndelse og ophør, ikke kan anses for behandling under udøvelse af »aktiviteter, der falder uden for EU-retten« som omhandlet i databeskyttelsesforordningens artikel 2, stk. 2, litra a).

Det andet spørgsmål

61.

Med det andet spørgsmål ønsker den forelæggende ret oplyst, om offentliggørelsen af de omhandlede personoplysninger vedrører »helbredsoplysninger« som omhandlet i databeskyttelsesforordningens artikel 9.

Bred fortolkning af begrebet »helbredsoplysninger«

62.

Dette spørgsmål bunder i, at databeskyttelsesforordningens artikel 9 fastsætter en særlig retlig ordning, der beskytter de kategorier af personoplysninger, der kaldes »følsomme«, herunder »helbredsoplysninger«. Disse oplysninger, der anses for at være en central del af personers intimsfære, kræver som sådan et højt beskyttelsesniveau, både på grund af beskyttelsen af privatlivets fred, tavshedspligten og lovgivningen om beskyttelse af personoplysninger  ( 28 ). Behandling af disse oplysninger er derfor forbudt i henhold til databeskyttelsesforordningens artikel 9, stk. 1, medmindre en af de undtagelser, der er fastsat i denne artikels stk. 2, finder anvendelse. Dette afspejles i 51. betragtning til databeskyttelsesforordningen, der vedrører følsomme oplysninger, hvoraf det fremgår, at denne specifikke beskyttelse er nødvendig, »da sammenhængen for behandling af dem kan indebære betydelige risici for disse grundlæggende rettigheder og frihedsrettigheder«. Ifølge 54. betragtning til databeskyttelsesforordningen skal det undgås, at »tredjemænd såsom arbejdsgivere eller forsikringsselskaber og pengeinstitutter behandler personoplysninger til andre formål«, hvis de behandles af hensyn til samfundsinteresser  ( 29 ). Kravet om databeskyttelse er i øvrigt vokset med informatiseringen af sundhedsstrukturerne og digitaliseringen af medier og datastrømme  ( 30 ).

63.

Hertil kommer, at forbuddet mod behandling af helbredsoplysninger i databeskyttelsesforordningens artikel 9, stk. 1, er uafhængigt af, om de oplysninger, der afsløres ved behandlingen af oplysninger, er korrekte eller ej, eller om den dataansvarlige handler med henblik på at opnå oplysninger, som henhører under en af de særlige kategorier, der er omhandlet i denne bestemmelse  ( 31 ). Det må heraf udledes, at den dataansvarliges formål, og navnlig den omstændighed, at behandlingen er nødvendig for at overholde en retlig forpligtelse eller er i samfundets interesse – selv om det er et relevant element i forbindelse med anvendelsen af en af de ti undtagelser i databeskyttelsesforordningens artikel 9, stk. 2 – ikke er et element, som der skal tages hensyn til ved kvalificeringen som »helbredsoplysninger«  ( 32 ).

64.

I henhold til databeskyttelsesforordningens artikel 4, nr. 15), sammenholdt med 35. betragtning til den nævnte forordning, omfatter sådanne oplysninger alle personoplysninger, der vedrører en fysisk persons fysiske eller mentale helbred, og som giver  ( 33 ) information om vedkommendes tidligere, nuværende eller fremtidige helbredstilstand.

65.

Domstolen har allerede fastslået, at begrebet »helbredsoplysninger« i databeskyttelsesforordningens artikel 9, stk. 1, henset til formålet med denne forordning, skal fortolkes bredt  ( 34 ). Ifølge den kontekstuelle og teleologiske fortolkning af databeskyttelsesforordningens artikel 4, nr. 15), og artikel 9 er det tilstrækkeligt, at de pågældende oplysninger for at kunne kvalificeres som helbredsoplysninger, selv indirekte gennem en intellektuel refleksion, som består i sammenstilling eller deduktion, kan afsløre informationer om den registreredes helbredstilstand  ( 35 ).

66.

På denne baggrund er det mit indtryk, at der skematisk set kan sondres mellem to kategorier af helbredsoplysninger.

67.

På den ene side de oplysninger, der genereres inden for de medicinske rammer, og som efter min opfattelse kan anses for »i kraft af deres karakter«  ( 36 ) at være »objektive«  ( 37 ) helbredsoplysninger, der, som anført i 35. betragtning til databeskyttelsesforordningen, vedrører oplysninger om f.eks. en fysisk eller psykisk sygdom, et handicap, en sygdomsrisiko, en sygehistorie eller en sundhedsfaglig behandling. De indgår sædvanligvis i den pågældendes patientjournal  ( 38 ). På samme måde er oplysninger, der, selv om de ikke er medicinske, indsamles med henblik på at indgå i patientjournalen, som det er tilfældet med de administrative oplysninger, som denne journal skal indeholde, omfattet af 35. betragtning til databeskyttelsesforordningen som »helbredsoplysninger«. I denne henseende anses de pågældende oplysninger for at vedrøre helbredet og for at give oplysninger om den registreredes helbredstilstand.

68.

I denne forbindelse har begrebet »sygdomsrisiko«, der er nævnt i 35. betragtning til databeskyttelsesforordningen, utvivlsomt en vis betydning. Som det fremgår af arbejdet i Artikel 29-Gruppen, omfatter dette oplysninger om en registreret persons potentielle fremtidige sundhedstilstand. Den fremtidige sygdomsrisiko, der er »videnskabeligt bevist eller almindeligt anerkendt«, tages således i betragtning, og som eksempler nævnes overdrevet forbrug af alkohol eller tobak og brug af narkotika  ( 39 ).

69.

På den anden side – uden for en medicinsk sammenhæng – kan en oplysning bl.a. vedrøre helbredet, hvis oplysningen er af en art, der selv indirekte kan give oplysninger om en fysisk persons tidligere, nuværende eller fremtidige fysiske eller mentale helbredstilstand  ( 40 ). Det er »gråzonen«  ( 41 ) med hensyn til begrebet »helbredsoplysning«, der fører til spørgsmålet om, i hvilket omfang dens indirekte forbindelse til helbred kan føre til, at den kvalificeres som sådan. Det afgørende er her, om der på grundlag af de pågældende oplysninger kan drages konklusioner om den registreredes helbredstilstand, uanset om der er tale om en patologisk eller fysiologisk tilstand, og uafhængigt af disse konklusioners pålidelighed. Der kan i denne forbindelse tages hensyn til sammenhængen  ( 42 ) og til forbindelsen mellem den pågældende information og muligheden for at udlede et aspekt af en persons helbred heraf  ( 43 ).

70.

Artikel 29-Gruppen anså f.eks. information om en persons tilknytning til grupper med et helbredsrelateret formål som »Weight Watchers« og »Anonyme Alkoholikere« for en helbredsoplysning  ( 44 ). Desuden kan der med rådata fra en »selvmåling« (f.eks. vægt eller blodtryk, der registreres på et smartur), der ikke i sig selv er en helbredsoplysning, kombineret med anden information drages konklusioner om den pågældendes helbred. Artikel 29-Gruppen præciserer i denne forbindelse, at der skal foretages en vurdering i hvert enkelt tilfælde: En applikation, der sporer og lagrer antallet af skridt over nogle dage og sletter disse data efter en uge, behandler muligvis ikke »helbredsoplysninger«. Men en applikation, der kombinerer flere års omfattende kvantificerede registreringer af en person (f.eks. sporing af søvn- og motionsvaner, detaljerede registreringer af kost, vægt, BMI, blodtryk og andre vitale statistikker samt en humørdagbog), anses for behandling af helbredsoplysninger. I så fald vil ikke kun konklusionerne og følgeslutningerne, men også rådataene blive anset for helbredsoplysninger  ( 45 ).

Anvendelse på den foreliggende sag

71.

I tvisten i hovedsagen fastsætter den omhandlede lovgivning, at der ud over angivelsen af de berørte idrætsudøveres navn og varigheden af deres suspendering også offentliggøres grundene til suspenderingen med en henvisning til kategorien af den eller de konstaterede overtrædelser. Hvis overtrædelsen vedrører et forbudt stof eller en forbudt metode, skal dette også angives i den meddelelse, der offentliggøres på ÖADR’s websted  ( 46 ).

72.

Jeg gør indledningsvis opmærksom på, at de overtrædelser af antidopingreglerne, der videregives, er opdelt i kategorier  ( 47 ).

73.

Jeg er enig med den østrigske databeskyttelsesmyndighed i, at det kun er de overtrædelser, der er omhandlet i kategori 2.1 og 2.2, som skal undersøges i lyset af begrebet »helbredsoplysninger«. De øvrige overtrædelser vedrører således ulovlig adfærd, der efter min opfattelse ikke som sådan, end ikke indirekte, kan afsløre oplysninger om den registreredes helbred. F.eks. afslører oplysningen om, at en idrætsudøver har tilsidesat whereabouts-reglerne (kategori 2.4-overtrædelse) eller har handlet med forbudte stoffer (kategori 2.7-overtrædelse), ingen oplysninger om den pågældendes helbred.

74.

Desuden skal det anføres, at overtrædelser i kategori 2.1 og 2.2 kun kan konstateres ved en antidopingtest af den pågældende idrætsudøver og analyse af prøver med henblik på at påvise forbudte stoffer og metoder. Jeg vil tilføje, at disse analyser foretages af akkrediterede fagfolk  ( 48 ) og dermed i en kvasimedicinsk eller endog medicinsk sammenhæng. Konstateringen af sådanne lovovertrædelser henviser således til udtrykket »oplysninger, der hidrører fra prøver eller undersøgelser af en legemsdel eller legemlig substans« som omhandlet i 35. betragtning til databeskyttelsesforordningen. Sådanne oplysninger kunne derfor anses for at være egentlige helbredsoplysninger.

75.

I denne henseende foretages testen ganske vist med henblik på at opdage dopingstoffer, der tages for at forbedre sportspræstationer, og behandling i form af videregivelse af de omhandlede oplysninger opfylder et repressivt formål i forhold til den pågældende idrætsudøver og har en afskrækkende virkning. Det bør dog erindres, at det formål, der forfølges, ikke er relevant for kvalificeringen af de pågældende oplysninger  ( 49 ).

76.

Jeg finder heller ikke den omstændighed, at dopingstoffer ikke er lægemidler, overbevisende. For det første omfatter begrebet »helbredsoplysninger« nemlig ikke kun medicinske oplysninger med terapeutisk formål. Desuden er visse lægemidler sundhedsskadelige, hvis de misbruges. For det andet er formålet med bekæmpelse af doping ganske vist at fremme retfærdighed og lighed blandt idrætsudøvere, men der er også helbredsmæssige hensyn  ( 50 ). Mange stoffer og metoder er således forbudt på grund af deres sundhedsskadelige virkninger, også selv om denne virkning kan afhænge af produktet, den mængde, der indtages, og den pågældende persons konstitution  ( 51 ).

77.

Ved kvalificeringen af de omhandlede oplysninger kan der derfor efter min opfattelse ikke ses bort fra virkningerne – nuværende såvel som fremtidige – af indtagelsen af et forbudt stof på idrætsudøverens helbred, uanset om idrætsudøverens formål er at forbedre sine præstationer.

78.

Endelig er det min opfattelse, at den omstændighed, at ÖADR offentliggør navnet på det forbudte stof, der er påvist i kroppen, online, kan oplyse offentligheden om de risici, som indtagelsen kan medføre for den pågældende idrætsudøvers helbred.

79.

Angivelsen af navnet på det forbudte stof, der er til stede i kroppen, kan ganske vist i sig selv anses for utilstrækkelig til at afsløre oplysninger om den pågældende idrætsudøvers helbredstilstand, også den fremtidige. Selve oplysningernes indhold kan i denne henseende anses for at være for mangelfuld, og forbindelsen til helbredstilstanden for indirekte eller endog for hypotetisk til at udgøre »helbredsoplysninger« i databeskyttelsesforordningens forstand. Det kan imidlertid ikke udelukkes, at disse oplysninger, når de kombineres med andre elementer, kan være af en sådan art, at de selv indirekte gennem en intellektuel refleksion, som består i sammenstilling eller deduktion, kan afsløre informationer om den registreredes – endog fremtidige – helbredstilstand.

80.

Det er derfor min opfattelse, at angivelsen af navnet på det omhandlede stof (eller dets kategori) giver oplysninger, der, selv om de ikke er detaljerede, kan oplyse, om end indirekte, om den berørte persons helbredstilstand. I den specifikke sammenhæng, som vedrører databeskyttelsesforordningen, udgør en sådan angivelse under visse omstændigheder, som det påhviler den forelæggende ret at efterprøve, en »helbredsoplysning« som omhandlet i databeskyttelsesforordningens artikel 4, nr. 15), og artikel 9, stk. 1, sammenholdt med 35. betragtning til den nævnte forordning.

81.

Jeg er derimod af den opfattelse, at dette ikke ville være tilfældet, hvis det omhandlede forbudte stof (eller dets kategori) ikke var nævnt. I dette tilfælde ville det således være umuligt at forbinde på den ene side konstateringen af en overtrædelse på grund af tilstedeværelsen af et forbudt stof i kroppen og på den anden side oplysningerne om den berørte persons helbredstilstand, selv gennem en »intellektuel refleksion, som består i sammenstilling eller deduktion«. Denne forbindelse ville således efter min opfattelse være for indirekte til, at de offentliggjorte oplysninger kan falde ind under kategorien »helbredsoplysninger« i databeskyttelsesforordningen.

Konklusion vedrørende det andet spørgsmål

82.

Jeg foreslår derfor, at Domstolen fastslår, at databeskyttelsesforordningens artikel 9, stk. 1, skal fortolkes således, at den omstændighed, at den berørte idrætsudøvers navn, suspenderingens varighed og grundene til denne suspendering videregives, ikke udgør behandling af en helbredsoplysning som omhandlet i denne bestemmelse, medmindre disse grunde omfatter navnet på det eller de forbudte stoffer, hvis tilstedeværelse er blevet påvist i den berørte idrætsudøvers krop, for så vidt som denne information selv indirekte kan afsløre oplysninger om den berørte idrætsudøvers – endog fremtidige – helbredstilstand, hvilket det tilkommer den forelæggende ret at efterprøve.

Det femte spørgsmål

83.

Den forelæggende ret ønsker nærmere bestemt oplyst, om den omhandlede offentliggørelse udgør behandling af personoplysninger vedrørende straffedomme og lovovertrædelser som omhandlet i databeskyttelsesforordningens artikel 10. Den har i denne forbindelse præciseret, at sanktionerne i tvisten i hovedsagen omfatter inddragelse af titler og præmiepenge samt en flerårig suspendering eller livsvarig udelukkelse fra alle (nationale og internationale) konkurrencer. Den har endvidere anført, at idrætsorganisationerne i henhold til ADBG’s § 24, stk. 4, ikke må »gøre brug af« personer, der er udelukket i henhold til antidopingregler, og dermed ikke kan beskæftige disse mod vederlag.

84.

Inden jeg analyserer arten af de omhandlede domme og overtrædelser af antidopingregler, vil jeg minde om, hvad det indebærer, at domme og lovovertrædelser kvalificeres som strafferetlige i forbindelse med databeskyttelsesforordningens artikel 10.

Betydningen af den »strafferetlige« karakter af domme og lovovertrædelser som omhandlet i databeskyttelsesforordningens artikel 10

85.

Jeg gør opmærksom på, at EU-lovgiver ikke forbyder behandling af personoplysninger vedrørende straffedomme og lovovertrædelser, men underkaster behandlingen en skærpet kontrol, for så vidt som den kan have en betydelig indvirkning på de registreredes liv, navnlig i form af skade på deres omdømme eller forskelsbehandling på andre områder. En sådan behandling kan således kun foretages »under kontrol af en offentlig myndighed«, eller hvis den lovgivning, der er hjemmel for denne behandling, giver »passende garantier for registreredes rettigheder og frihedsrettigheder«  ( 52 ). Den udvidede beskyttelse, der er fastsat i databeskyttelsesforordningens artikel 10, gælder alene for det strafferetlige område, idet ordet »straffe-« henviser til både »domme« og »lovovertrædelser«  ( 53 ).

86.

Private organisationers  ( 54 ) føring af registre over straffedomme og lovovertrædelser, f.eks. i forbindelse med bekæmpelse af hvidvaskning af penge eller kriminaltekniske laboratoriers aktiviteter  ( 55 ), kan således være omfattet af databeskyttelsesforordningens artikel 10. Et andet eksempel kan være biludlejningsfirmaers behandling af personoplysninger, når de identificerer og udpeger en fører, der har overtrådt færdselsreglerne.

87.

I den foreliggende sag er spørgsmålet derfor, om det »sportsregister«, som NADA og ÖADR har lagt online, udgør et »register« over straffedomme og lovovertrædelser, der hører under anvendelsesområdet for databeskyttelsesforordningens artikel 10, og som derfor indebærer en udvidet beskyttelse.

Analyse af, hvorvidt domme og overtrædelser af antidopingreglerne er strafferetlige som omhandlet i databeskyttelsesforordningens artikel 10

88.

Ifølge Domstolens praksis skal begrebet »strafbar handling«, der er afgørende for at beslutte, om databeskyttelsesforordningens artikel 10 finder anvendelse på behandling af personoplysninger, i hele Unionen undergives en selvstændig og ensartet fortolkning, som skal søges under hensyntagen til formålet med denne bestemmelse og den sammenhæng, hvori den indgår, og den pågældende medlemsstats kvalificering af disse overtrædelser er ikke afgørende i denne henseende, idet denne kvalificering kan variere fra land til land.

89.

De tre »Engel-kriterier«, som Domstolen har anvendt  ( 56 ), dvs. den retlige kvalificering af overtrædelsen i national ret, selve overtrædelsens art og strengheden af den sanktion, som den pågældende risikerer at blive pålagt, er således relevante for vurderingen af, om en overtrædelse har strafferetlig karakter.

90.

Selv om det tilkommer den forelæggende ret ud fra disse kriterier at vurdere, om de domme og overtrædelser, som hovedsagen vedrører, har strafferetlig karakter som omhandlet i databeskyttelsesforordningens artikel 10, kan Domstolen inden for rammerne af en præjudiciel forelæggelse imidlertid give nærmere oplysninger med henblik på at vejlede den nationale ret i dens vurdering  ( 57 ).

91.

Jeg vil derfor undersøge de omhandlede overtrædelser og domme på baggrund af disse tre kriterier.

–

Den retlige kvalificering af overtrædelsen i national ret

92.

Det fremgår af anmodningen om præjudiciel afgørelse, at ÖADR i henhold til østrigsk ret gennemfører disciplinærsager for den kompetente forbundsidrætsorganisation. Den østrigske regering har ligeledes i retsmødet fremhævet, at antidopingreglerne har sui generis-karakter, for så vidt som overtrædelserne af antidopingreglerne er overtrædelser af de pågældende idrætsorganisationers regler, som idrætsudøverne forpligter sig til at overholde  ( 58 ), og ikke overtrædelser af loven.

93.

Kvalificeringen af overtrædelser af antidopingreglerne i national ret taler således ikke for en »strafferetlig« kvalificering i henhold til databeskyttelsesforordningens artikel 10.

94.

Imidlertid bør det første Engel-kriteriums rækkevidde relativiseres, idet en strafferetlig karakter selv for overtrædelser, der ikke kan kvalificeres som »lovovertrædelser« i national ret, ikke desto mindre kan følge af selve den pågældende overtrædelses art og strengheden af de sanktioner, som denne kan medføre  ( 59 ). Dette er navnlig tilfældet i forbindelse med antidopingregler, eftersom den tværstatslige ordning, som er indført, involverer forskellige aktører, internationale såvel som nationale  ( 60 ), og medlemsstaterne har integreret WADC på forskellige måder i deres respektive retssystemer. Gennemførelsen af antidopingreglerne er derfor nødvendigvis forskellig fra den ene stat til den anden afhængigt af de forskellige modeller for statslige organisationer, selv om NADO’erne i de fleste medlemsstater tilsyneladende ikke har strafferetlige beføjelser i denne henseende  ( 61 ).

95.

De to øvrige Engel-kriterier skal derfor undersøges.

–

Overtrædelsens art

96.

Ifølge det andet kriterium skal det undersøges, om den sanktion, der svarer til den pågældende overtrædelse, navnlig har et repressivt formål, uden at den omstændighed, at den ligeledes forfølger et præventivt formål, i sig selv kan fratage den dens karakter af »strafferetlig sanktion«. Det følger nemlig af selve de strafferetlige sanktioners natur, at de både tilsigter at straffe og at forebygge ulovlig adfærd. En foranstaltning, der blot kompenserer for skader forårsaget af den pågældende lovovertrædelse, er derimod ikke af strafferetlig karakter  ( 62 ).

97.

Det fremgår af anmodningen om præjudiciel afgørelse, at der ved overtrædelser af antidopingreglerne anvendes to kategorier af sanktioner.

98.

Der er for det første tale om frakendelse af titler og præmiepenge, hvor præmierne kræves tilbage og gives til de idrætsudøvere, som ville have været berettiget til dem, hvis den idrætsudøver, der blev pålagt sanktioner, ikke havde deltaget i konkurrencen. En sådan sanktion synes at vedrøre en overtrædelse af »spillereglerne« (»lex sportiva«) og kan anses for i det væsentlige at have til formål at genoprette fair play  ( 63 ), selv om dette på ingen måde ændrer ved dens karakter af straf for den pågældende idrætsudøver.

99.

For det andet er der tale om suspendering fra deltagelse i idrætskonkurrencer, som kan være af måneders eller års varighed, eller endog, som det er tilfældet med en af sagsøgerne i hovedsagen, et livsvarigt forbud mod deltagelse i alle konkurrencer. En suspendering kan ganske vist ses som et ønske om at »forvise« den skyldige idrætsudøver og herved fjerne eller udelukke vedkommende fra fællesskabet af idrætsudøvere for at bevare fællesskabets integritet. Den har imidlertid også til formål at straffe den idrætsudøver, der har overtrådt de antidopingregler, som vedkommende havde forpligtet sig til at overholde, samt at afskrække andre idrætsudøvere fra at gøre det samme.

100.

Det primære formål med disse antidopingsanktioner – i det mindste med suspendering fra konkurrencer – forekommer derfor ikke at være at kompensere for den skade, som tredjemand har lidt som følge af overtrædelsen, men snarere at straffe den pågældende idrætsudøvers adfærd, hvilket går i retning af en straffedom  ( 64 ). I denne henseende har antidopingreglerne et repressivt formål, selv om de ikke er strafferetlig lovgivning  ( 65 ).

101.

Kvalificeringen som »strafferetlig« i henhold til det andet Engel-kriterium kan imidlertid give anledning til tvivl i to henseender.

102.

Den første tvivl følger af konstateringen af, at Menneskerettighedsdomstolen snarere har behandlet disciplinærsager på grundlag af den civile del af EMRK’s artikel 6  ( 66 ), undtagen når der f.eks. er tale om frihedsberøvelse, og sanktionen er tilstrækkelig streng  ( 67 ).

103.

Menneskerettighedsdomstolen anser nærmere bestemt den civilretlige del af EMRK’s artikel 6 for at finde anvendelse på »tvister vedrørende fratagelse af retten til at udøve et erhverv«  ( 68 ), herunder på idrætsområdet  ( 69 ).

104.

Det er således langt fra givet, at et forbud mod at udøve et erhverv har strafferetlig karakter.

105.

Efter min opfattelse kan det imidlertid ikke heraf ipso facto og absolut udledes, at en disciplinær sanktion, der fører til suspendering fra idrætskonkurrencer, aldrig kan falde inden for det strafferetlige område.

106.

En sådan tilgang synes således at være rent formel.

107.

Det skal også nævnes, at de to dele af EMRK’s artikel 6, den civilretlige og den strafferetlige, ikke nødvendigvis udelukker hinanden  ( 70 ).

108.

Endelig skal det holdes for øje, at Menneskerettighedsdomstolen undersøger den pågældende lovovertrædelses strafferetlige eller civilretlige karakter i lyset af de klagepunkter, der er rejst for den, og med henblik på at vurdere, om de garantier for en retfærdig rettergang, der er fastsat i EMRK’s artikel 6, finder anvendelse på det civilretlige (stk. 1) eller det strafferetlige område (stk. 1-3).

109.

I forbindelse med databeskyttelsesforordningens artikel 10 skal det derimod vurderes, om dommen eller lovovertrædelsen er strafferetlig, for at afgøre, om den pågældende behandling (her offentliggørelsen) vedrører oplysninger, der kræver en udvidet beskyttelse, som indebærer en offentlig myndigheds kontrol. Hertil kommer, at der ikke er noget til hinder for en bredere fortolkning, som sikrer en udvidet beskyttelse af de pågældende rettigheder og frihedsrettigheder  ( 71 ). Det er i denne sammenhæng for databeskyttelsesforordningens artikel 10, at det således påhviler den forelæggende ret at vurdere, hvorvidt Engel-kriterierne, og navnlig det andet kriterium vedrørende lovovertrædelsens art, er opfyldt.

110.

En anden tvivl bunder i, at overtrædelser og domme i forbindelse med antidopingregler kun er rettet mod en bestemt gruppe af personer, dvs. idrætsudøvere, i lighed med disciplinære sanktioner, som generelt har til formål at sikre, at medlemmerne af en bestemt gruppe overholder adfærdsregler, der gælder specifikt for denne gruppe  ( 72 ). Sådanne bestemmelser har til formål at beskytte erhvervets ære og omdømme og at opretholde offentlighedens tillid til dette erhverv  ( 73 ).

111.

En sådan konstatering gør det ganske vist muligt at kvalificere overtrædelsen som »disciplinær« i den forstand, at den finder anvendelse på et bestemt antal personer, der er omfattet af et specifikt regelsæt. I denne henseende adskiller den foreliggende sag sig fra den sag, der gav anledning til dommen i sagen Latvijas Republikas Saeima, hvor tildelingen af strafpoint for færdselsforseelser var baseret på en almengyldig retsakt  ( 74 ).

112.

Dette udelukker imidlertid ikke en kvalificering som strafbar handling i henhold til databeskyttelsesforordningens artikel 10. Hvis disciplinære reglers mere begrænsede rækkevidde var tilstrækkeligt til at udelukke, at overtrædelsen blev kvalificeret som »strafbar handling«, ville det igen være en rent formel tilgang til begrebet. En sådan tilgang er ikke i overensstemmelse med den retspraksis, som i denne henseende kræver, at der for at definere overtrædelsens art søges efter et repressivt eller præventivt formål med sanktionen i modsætning til et rent kompenserende formål.

113.

I den foreliggende sag har antidopingdommene som nævnt  ( 75 ) ikke til formål at kompensere for de skader, som de nævnte overtrædelser eventuelt har forårsaget (eller ikke udelukkende, hvis man tager hensyn til den skade, der er forårsaget på idrætsverdenen), men forfølger derimod et repressivt formål, som kan medføre, at de kvalificeres som en »straffedom« ifølge fortolkningen af det nævnte andet kriterium i retspraksis, uanset om den regel, der finder anvendelse, er generel eller ej. Jeg vil også gerne påpege, at Den Internationale Sportsdomstol i Schweiz, en international institution, der tilbyder voldgift eller mægling inden for idrætsverdenen, selv anerkender, hvor det er relevant, antidopingsanktioners »kvasistrafferetlige« karakter  ( 76 ).

114.

Desuden kan visse overtrædelser af antidopingreglerne, såsom handel med forbudte stoffer, give anledning til sanktioner efter både antidopingreglerne og den nationale straffelovgivning. Menneskerettighedsdomstolen har ganske vist fastslået, at den omstændighed, at handlinger, der kan føre til en disciplinær sanktion, også udgør strafbare handlinger, ikke er tilstrækkelig til at anse en person, der er ansvarlig i henhold til disciplinærreglerne, for at være »anklaget« for at have begået en strafbar handling  ( 77 ). Efter min opfattelse kan dette imidlertid være et element, der skal tages i betragtning i forbindelse med det andet Engel-kriterium.

115.

På trods af de ovennævnte forbehold mener jeg derfor på nuværende tidspunkt, at det ikke kan udelukkes, at visse overtrædelser af antidopingreglerne, henset til deres repressive eller præventive art, kan anses for at være af strafferetlig karakter som omhandlet i databeskyttelsesforordningens artikel 10.

–

Strengheden af sanktionen

116.

Det tredje Engel-kriterium skal vurderes i forhold til den maksimale straf, som pålægges, og som er fastsat i de relevante bestemmelser  ( 78 ).

117.

Strengheden varierer imidlertid afhængigt af den overtrædelse af antidopingreglerne, der er begået. F.eks. varierer suspenderingens varighed i forhold til de relevante overtrædelser af antidopingreglerne. Gentagne overtrædelser og ophavsmandens hensigt kan ligeledes spille en rolle i denne forbindelse  ( 79 ).

118.

Det fremgår af anmodningen om præjudiciel afgørelse, at der i det foreliggende tilfælde kan være tale om »en flerårig suspendering eller livsvarig udelukkelse fra alle (nationale og internationale) konkurrencer«, hvilket således kan føre til en definitiv udelukkelse fra udøvelsen af professionel idræt.

119.

Der er ganske vist ikke tale om en frihedsstraf. Dette er imidlertid ikke afgørende, eftersom »sagens ubetydelighed ikke kan fratage en lovovertrædelse dens iboende strafferetlige karakter«  ( 80 ). Desuden kan det betyde afslutningen på den registreredes professionelle idrætskarriere alt efter suspenderingens varighed, navnlig henset til de pågældendes alder og den omstændighed, at karrieren særlig inden for visse idrætsgrene er relativt kort.

120.

Ud over denne suspendering, der kan være »livsvarig«, er det i praksis umuligt at finde beskæftigelse inden for idrætsverdenen igen på grund af forbuddet mod tilknytning til en suspenderet person under hele suspenderingens varighed.

121.

Endelig er der foruden de økonomiske og finansielle konsekvenser for den pågældende person også social fordømmelse og stigmatisering både i den offentlige sfære og i privatsfæren.

122.

Efter min opfattelse følger det heraf, at strengheden af en sådan sanktion kan have en virkning, der svarer til en straffedom som omhandlet i databeskyttelsesforordningens artikel 10, hvilket det imidlertid tilkommer den forelæggende ret at vurdere i hvert enkelt tilfælde.

123.

Jeg er derfor af den opfattelse, at overtrædelser af antidopingregler og domme, principielt, bør anses for at henhøre under det disciplinære område, undtagen i tilfælde, hvor dommen er så streng, at den falder ind under det strafferetlige område. En sådan vurdering, som ikke kan drages i tvivl alene ved kvalificeringen i national ret, hænger i øvrigt sammen med det repressive og forebyggende formål med dommen, som tillægger den pågældende overtrædelse en strafferetlig karakter. I denne sammenhæng kan en livsvarig suspendering fra at deltage i enhver konkurrence derfor efter min opfattelse udgøre en sanktion med tilsvarende virkning som en strafferetlig sanktion, der kan medføre, at databeskyttelsesforordningens artikel 10 finder anvendelse.

124.

Endelig vil jeg tilføje, at jeg ikke er overbevist af NADA’s argument, der advarer om konsekvenserne for alle faglige organisationer af at anvende databeskyttelsesforordningens artikel 10 på behandling af oplysninger vedrørende disciplinære overtrædelser og domme. Der er således ikke her tale om en generel og abstrakt »kriminalisering« af alle disciplinære overtrædelser og domme. Ovenstående analyse har vist, at vurderingen skal foretages på grundlag af omstændighederne i den enkelte sag og i lyset af fortolkningen af databeskyttelsesforordningens artikel 10, som kræver en udvidet beskyttelse, når der føres et »register« over domme og lovovertrædelser, der falder ind under dens anvendelsesområde. I øvrigt kan retsgrundlaget for behandling af oplysninger vedrørende sådanne lovovertrædelser og domme, der kvalificeres som »strafferetlige«, også findes i den lovgivning – EU-retten eller medlemsstaternes lovgivning – som giver de »passende garantier«.

Konklusion vedrørende det femte spørgsmål

125.

Efter min opfattelse skal det femte spørgsmål besvares således, at databeskyttelsesforordningens artikel 10 skal fortolkes således, at denne bestemmelse kan finde anvendelse på behandling af personoplysninger vedrørende domme eller lovovertrædelser, der er fastsat i de nationale antidopingregler, for så vidt som de domme, som de medfører, uafhængigt af kvalificeringen af disse overtrædelser i national ret, har et repressivt formål og er af en sådan strenghed, at de har tilsvarende virkning som en strafferetlig sanktion, hvilket det tilkommer den forelæggende ret at efterprøve.

Det sjette spørgsmål

126.

Såfremt det femte spørgsmål besvares bekræftende, ønsker den forelæggende ret oplyst, hvorvidt aktiviteter henholdsvis afgørelser fra en myndighed, som i henhold til databeskyttelsesforordningens artikel 10 er blevet pålagt tilsynet med behandling af personoplysninger vedrørende straffedomme og lovovertrædelser eller tilknyttede sikkerhedsforanstaltninger, skal være underlagt domstolsprøvelse.

127.

For det første vil jeg gerne præcisere, at den pågældende myndighed er den »offentlige myndighed«, der er omhandlet i databeskyttelsesforordningens artikel 10, som ikke må forveksles med »tilsynsmyndigheden«, omhandlet i databeskyttelsesforordningens artikel 51  ( 81 ). Jeg gør ligeledes opmærksom på, at behandling af personoplysninger vedrørende straffedomme og lovovertrædelser kun må foretages under kontrol af en offentlig myndighed, eller hvis behandling har hjemmel i EU-retten eller medlemsstaternes nationale ret, som giver passende garantier for registreredes rettigheder og frihedsrettigheder  ( 82 ). Svaret på dette spørgsmål skal således sættes i relation til svarene på det tredje og det fjerde præjudicielle spørgsmål, som behandles nedenfor  ( 83 ).

128.

For det andet må det konstateres, at databeskyttelsesforordningen ikke indeholder en definition af begrebet »offentlig myndighed« eller »kontrol af en offentlig myndighed« som omhandlet i forordningens artikel 10. I denne henseende er det op til medlemsstaterne at afgøre, hvilket organ der udøver kontrol som »offentlig myndighed« i forbindelse med behandling af personoplysninger som omhandlet i databeskyttelsesforordningens artikel 10. Som Kommissionen har anført, er det ikke udelukket, at flere instanser kan betragtes som sådanne, og at det ikke nødvendigvis er den »dataansvarlige«.

129.

For det tredje er det korrekt, at ordlyden af databeskyttelsesforordningens artikel 10 ikke som sådan foreskriver domstolsprøvelse af denne »offentlige myndigheds« aktiviteter eller afgørelser. Imidlertid taler en kontekstuel fortolkning af denne bestemmelse for en domstolsprøvelse, hvis de registrerede ønsker at gøre deres rettigheder gældende. I lighed med flere af de berørte parter er jeg således af den opfattelse, at prøvelsen af retsakter vedrørende behandling af personoplysninger, herunder når denne prøvelse følger efter en afgørelse truffet af en offentlig myndighed som omhandlet i databeskyttelsesforordningens artikel 10, skal være i overensstemmelse med databeskyttelsesforordningens artikel 79, stk. 1, selv om den forelæggende ret ikke har nævnt denne bestemmelse i sit spørgsmål. I henhold til denne bestemmelse skal den enkelte registrerede, uden at det berører andre administrative eller udenretslige klageadgange, herunder retten til at indgive klage til en tilsynsmyndighed i henhold til nævnte forordnings artikel 77, have adgang til effektive retsmidler, hvis vedkommende finder, at vedkommendes rettigheder i henhold til denne forordning er blevet krænket som følge af behandling af vedkommendes personoplysninger i strid med denne forordning. Som den finske regering har fremhævet, er selve eksistensen af en effektiv domstolsprøvelse, som skal sikre overholdelsen af EU-retten, desuden uløseligt forbundet med en retsstat.

130.

For det fjerde bekræftes en sådan fortolkning af det formål, der forfølges med databeskyttelsesforordningens artikel 10, nemlig at sikre en øget beskyttelse mod behandlinger, der som følge af de pågældende oplysningers særligt følsomme karakter kan udgøre et særligt alvorligt indgreb i de grundlæggende rettigheder til respekt for privatlivet og til beskyttelse af personoplysninger  ( 84 ). En fortolkning af databeskyttelsesforordningens artikel 10, som a priori og generelt udelukker, at en offentlig myndigheds aktiviteter eller afgørelser som omhandlet i denne bestemmelse kan underlægges domstolsprøvelse, ville være i strid med disse formål.

131.

Under disse omstændigheder og i mangel af en nærmere præcisering af den pågældende offentlige myndigheds aktiviteter eller afgørelser er det min opfattelse, at det sjette spørgsmål skal besvares således, at databeskyttelsesforordningens artikel 10, sammenholdt med samme forordnings artikel 79, stk. 1, skal fortolkes således, at aktiviteter henholdsvis afgørelser fra en myndighed, som i henhold til denne bestemmelse er blevet pålagt tilsynet med behandling af personoplysninger vedrørende straffedomme og lovovertrædelser eller tilknyttede sikkerhedsforanstaltninger, skal kunne underlægges domstolsprøvelse.

Det tredje og det fjerde spørgsmål

132.

Med disse to spørgsmål, som kan behandles samlet, ønsker den forelæggende ret nærmere bestemt for det første oplyst, om databeskyttelsesforordningens artikel 5, stk. 1, litra a) og c), og artikel 6, stk. 3, andet afsnit, kan fortolkes således, at disse bestemmelser er til hinder for en forpligtelse, der i henhold til national ret påhviler de nationale antidopingorganer, til at offentliggøre de pågældende personoplysninger, dvs. navnlig navnene på de idrætsudøvere, der er blevet pålagt sanktioner for overtrædelse af antidopingreglerne, varigheden af den pålagte suspendering og grundene hertil.

133.

Den forelæggende ret ønsker for det andet oplyst, om databeskyttelsesforordningen kræver, at den dataansvarlige før offentliggørelsen foretager en interesseafvejning i hvert enkelt tilfælde, eller om den proportionalitetskontrol, som lovgiver har foreskrevet, er tilstrækkelig.

Den omhandlede offentliggørelses proportionalitet

134.

Den nationale lovgiver har i ADBG fastsat, at visse oplysninger (idrætsudøverens navn, suspenderingens varighed og grundene hertil) skal stilles vederlagsfrit til rådighed  ( 85 ) for den føderale idrætsorganisation, idrætsorganisationer, idrætsudøvere, øvrige personer (støttepersonale), konkurrencearrangører og offentligheden, uden at det er muligt at udlede helbredsoplysninger. Det fastsættes ligeledes, at der kun kan ses bort fra offentliggørelse af disse oplysninger over for offentligheden, såfremt den registrerede er en motionsidrætsudøver, er særligt sårbar (mindreårig), eller en person, der ved meddelelse af oplysninger eller andre informationer i væsentligt omfang har bidraget til at afsløre potentielle overtrædelser af antidopingreglerne. Medmindre jeg tager fejl, indeholder ADBG hverken udtrykkelige krav om angivelse af det eventuelt omhandlede forbudte stof eller offentliggørelse på internettet.

135.

I praksis har NADA og ÖADR gennemført denne lovgivning ved offentliggørelse på internettet, når det drejer sig om professionelle idrætsudøvere, med angivelse af det eventuelt omhandlede forbudte stof for så vidt angår ÖADR’s offentliggørelse.

–

Indledende bemærkninger og angivelse af principperne

136.

Det skal erindres, at det formål, der forfølges med databeskyttelsesforordningen, som det fremgår af forordningens artikel 1 samt første og tiende betragtning hertil, bl.a. består i at sikre et højt beskyttelsesniveau for fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til privatliv i forbindelse med behandlingen af personoplysninger, som er fastsat i chartrets artikel 8, stk. 1, og i artikel 16, stk. 1, TEUF og er tæt forbundet med retten til respekt for privatliv, som er fastsat i chartrets artikel 7.

137.

I denne henseende er de grundlæggende rettigheder til respekt for privatlivet og til beskyttelse af personoplysninger, som er sikret ved chartrets artikel 7 og 8, ikke absolutte rettigheder. Der kan således indføres begrænsninger, forudsat at de, i overensstemmelse med chartrets artikel 52, stk. 1, er fastlagt i lovgivningen og respekterer de grundlæggende rettigheders væsentligste indhold samt proportionalitetsprincippet  ( 86 ).

138.

I det foreliggende tilfælde sker offentliggørelsen af de berørte idrætsudøveres personoplysninger på grundlag af en retlig forpligtelse, der er pålagt de dataansvarlige ved national lov  ( 87 ).

139.

Denne behandling af oplysninger kan derfor anses for at være omfattet af det tilfælde, der er omhandlet i databeskyttelsesforordningens artikel 6, stk. 1, litra c), hvorefter en behandling, der er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige, er lovlig. Eftersom dopingbekæmpelse kan anses som udførelse af en opgave i samfundets interesse  ( 88 ), kan den pågældende behandling ligeledes være omfattet af det tilfælde, der er omhandlet i databeskyttelsesforordningens artikel 6, stk. 1, litra e). Det er imidlertid ikke nødvendigt at afgøre, hvilken af disse betingelser for lovlighed der finder anvendelse i den foreliggende sag, eller om de begge finder anvendelse  ( 89 ).

140.

Med hensyn til disse to tilfælde af lovlig behandling, der er omhandlet i databeskyttelsesforordningens artikel 6, stk. 1, litra c) og e), præciserer denne forordnings artikel 6, stk. 3, at denne behandling skal have grundlag i EU-retten eller medlemsstaternes nationale ret, som den dataansvarlige er underlagt, og at dette retsgrundlag skal opfylde et formål i samfundets interesse og stå i rimeligt forhold til det legitime mål, der forfølges.

141.

Ligeledes skal enhver behandling af personoplysninger bl.a. være i overensstemmelse med de principper, der er fastsat i databeskyttelsesforordningens artikel 5, stk. 1, og navnlig principperne om lovlighed og »dataminimering«, der fremgår af henholdsvis denne bestemmelses litra a) og c). Ifølge princippet om minimering skal personoplysninger være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles, hvilket er udtryk for proportionalitetsprincippet  ( 90 ).

142.

Den forelæggende rets spørgsmål kræver således, at det efterprøves, om den nationale lovgivning som retsgrundlag for den omhandlede behandling opfylder de krav, der følger af disse bestemmelser, dvs. at den opfylder et formål i samfundets interesse og står i rimeligt forhold til det legitime mål, der forfølges.

143.

I det foreliggende tilfælde er der i forbindelse med bekæmpelsen af doping inden for idræt, som givetvis er et formål i samfundets interesse, vedtaget sanktioner for overtrædelse af antidopingreglerne. Hertil kommer videregivelsen af de omhandlede personoplysninger til offentligheden, som forfølger to ligeværdige legitime formål, hvortil de berørte parter og den østrigske regering har henvist i retsmødet. På den ene side er det formålet at afskrække idrætsudøvere fra at overtræde antidopingreglerne og dermed forebygge doping inden for idræt. På den anden side er det formålet at forhindre omgåelse af antidopingreglerne ved at informere alle, der kan sponsorere eller ansætte den pågældende idrætsudøver, om, at vedkommende er suspenderet  ( 91 ).

144.

Den forelæggende ret skal derfor efterprøve, om den nationale lovgivning, der indeholder bestemmelser om den omhandlede behandling, således som den gennemføres af NADA og ÖADR, er egnet til at bidrage til virkeliggørelsen af de formål i samfundets interesse, som den forfølger, og om den er nødvendig og står i rimeligt forhold til disse formål, idet Domstolen har kompetence til at forsyne den med nyttige fortolkningsoplysninger.

–

Offentliggørelsens egnethed til at opnå de tilsigtede formål

145.

Efter min opfattelse kan offentliggørelsen af de omhandlede oplysninger uden de store vanskeligheder anses for at være egnet til at nå de to tilsigtede formål.

146.

For det første medfører en offentliggørelse af den sanktionerede idrætsudøvers navn samt grundene til og varigheden af den pågældendes suspendering, at offentligheden oplyses om, at doping straffes, og at den ikke alene medfører sanktioner, men også offentliggørelse af suspenderingssanktionen med angivelse af navn. Dette kan tilskynde offentligheden, herunder idrætsudøvere – professionelle såvel som motionsidrætsudøvere – til at afholde sig fra at overtræde antidopingreglerne og er derfor i overensstemmelse med formålet om afskrækkelse og forebyggelse.

147.

For det andet gør offentliggørelsen af denne suspendering det ligeledes muligt at oplyse de personer, der måtte ønske at ansætte den pågældende idrætsudøver i en hvilken som helst egenskab på idrætsområdet, om, at vedkommende er suspenderet og ikke forventes at udøve funktioner inden for idræt. Det skal tilføjes, at tilknytning til en idrætsudøver også udgør tilsidesættelse af antidopingreglerne  ( 92 ). En sådan offentliggørelse kan således bidrage til at forhindre overtrædelser, som begås af uvidenhed.

148.

Jeg kan derimod ikke se, hvorledes angivelsen af det eventuelt omhandlede forbudte stof, som ikke udtrykkeligt er foreskrevet i den nationale lovgivning, men som offentliggøres af ÖADR, gør det muligt at nå de tilsigtede formål. Hverken formålet om afskrækkelse eller formålet om at forhindre omgåelse af antidopingreglerne kræver således en detaljeret beskrivelse af den konstaterede overtrædelse på dette punkt.

–

Nødvendigheden af en offentliggørelse i lyset af de tilsigtede formål

149.

I overensstemmelse med 39. betragtning til databeskyttelsesforordningen indebærer efterprøvelsen af, om den omhandlede behandling er nødvendig, henset til de tilsigtede formål, at det skal undersøges, om der findes alternative foranstaltninger, som er mindre indgribende i den ret til respekt for privatlivet og til beskyttelse af personoplysninger, der er sikret ved chartrets artikel 7 og 8, men som lige så effektivt kan nå det påberåbte formål  ( 93 ).

150.

Hvad for det første angår afskrækkelsesformålet finder jeg det ikke absolut nødvendigt i alle tilfælde at offentliggøre navnene på de berørte sportsudøvere.

151.

Afskrækkelsen er ganske vist så meget mere effektiv, hvis sanktionerne ledsages af en offentliggørelse af idrætsudøverens navn, navnlig hvis det er en kendt idrætsudøver. På dette område har idrætsudøvere på højt niveau, som også nyder en vis anseelse, et særligt ansvar, og offentliggørelsen af deres navn kan således være så meget mere relevant i forhold til det tilsigtede formål.

152.

Hvad angår professionelle idrætsudøvere, der ikke er omfattet af undtagelserne i ADBG, foreskriver den nationale lovgivning imidlertid automatisk offentliggørelse med angivelse af navn, hvis rækkevidde gøres ubegrænset ved en offentliggørelse online  ( 94 ), uden hensyntagen til de særlige omstændigheder forbundet med individuelle forhold (idrætsudøverens anseelse, konkurrenceniveau, gentagne overtrædelser, forsætlige handlinger osv.). I denne henseende er det min opfattelse, at disse nationale bestemmelser på grund af deres generelle karakter kan gå ud over, hvad der er nødvendigt for at forebygge doping ved brug af afskrækkelse.

153.

Hvad for det andet angår formålet om at forhindre omgåelse af forbuddet mod tilknytning til en suspenderet person kræver det, at man ved, hvilken sportsudøver der er tale om. Det er derfor nødvendigt at offentliggøre navnet på den suspenderede person. I denne henseende fremgår det af anmodningen om præjudiciel afgørelse, at det ifølge ADBG’s § 1, stk. 2, nr. 8, kan udgøre en overtrædelse af antidopingreglerne, hvis en idrætsudøver har kontakt med et medlem af støttepersonalet, der er omfattet af et forbud eller en sanktion.

154.

Når det er sagt, anser jeg den ubegrænsede rækkevidde af offentliggørelsen, når oplysningerne offentliggøres online på internettet, for at gå ud over, hvad der er nødvendigt  ( 95 ).

155.

Dette formål om at undgå omgåelse af reglerne synes således i høj grad at gælde i idrætsverdenen  ( 96 ) og at henvende sig til de personer, der har til opgave at håndhæve sanktioner eller er ansvarlige for idrætsorganer eller idrætsforbund. En mere begrænset udbredelse af den berørte idrætsudøvers identitet forekommer i denne sammenhæng at opnå formålet på en effektiv måde, der er mindre indgribende i beskyttelsen af personoplysninger. NADA har i øvrigt i retsmødet forklaret, at oplysningerne om suspendering kan gå gennem forbundene, når der er tale om visse kategorier af idrætsudøvere på et lavere niveau.

156.

Hvad angår erhvervsdrivende eller arbejdsgivere uden for idrætsverdenen ville en mere begrænset offentliggørelse ganske vist ikke give dem mulighed for at vide, at den pågældende idrætsudøver var suspenderet, og at de havde forbud mod at samarbejde med vedkommende. For så vidt som en sådan ikke-informeret person ville blive foreholdt sin tilknytning til en suspenderet person (idrætsudøver eller anden person), ville reglerne om bevisbyrde i et sådant tilfælde efter min opfattelse gøre det muligt at fastslå, hvorvidt denne »tilknytning« var bevidst og forsætlig  ( 97 ). Omvendt vil en offentliggørelse af suspenderingen på internettet sammen med navnet på den suspenderede person efter min opfattelse i sidste ende føre til, at alle får et ansvar for at kontrollere, om den person, som de indgår kontrakt med eller har tilknytning til, er suspenderet eller ej. Denne generelle mistanke som følge af offentliggørelsen online af »sportsregistret«, går efter min opfattelse ud over det tilsigtede formål.

157.

Det skal tilføjes, at NADA’s og ÖADR’s beslutning om at offentliggøre oplysningerne online sandsynligvis vil krænke retten til privatlivets fred yderligere, navnlig i betragtning af at de vil blive udbredt vidt og bredt  ( 98 ). Dette er også Artikel 29-Gruppens opfattelse, idet den fremhæver risikoen for, at oplysninger, der er offentliggjort online, anvendes til andre formål, eller for yderligere, mere indgribende, behandling  ( 99 ).

158.

Efter min opfattelse ville en offentliggørelse med angivelse af navn, men som er begrænset til de relevante idrætsorganer og ‑forbund, f.eks. sammen med en pseudonymiseret offentliggørelse på internettet, gøre det muligt at opnå de to tilsigtede formål på en måde, der er mindre skadelig for beskyttelsen af personoplysninger og mere i overensstemmelse med princippet om dataminimering.

159.

Jeg vil gerne tilføje, at jeg ikke er overbevist af NADA’s argument, der er baseret på en sammenligning med offentliggørelsen af sanktioner i forbindelse med andre erhverv, f.eks. advokater eller sundhedspersonale. Som den nederlandske regering har anført i denne forbindelse, anser jeg offentliggørelsen af navnene på suspenderede advokater eller læger for nødvendig, fordi enhver kan være part i en retssag eller patient, hvorimod det i forbindelse med doping er tilstrækkeligt, at den berørte idrætsudøvers navn er kendt i idrætskredse, af de berørte idrætsforbund, undtagen i særlige tilfælde, der skal vurderes fra sag til sag.

160.

Jeg nærer derfor alvorlig tvivl om, hvorvidt den pågældende behandling er nødvendig i lyset af de forfulgte formål.

–

Proportionalitet »i snæver forstand«, dvs. interesseafvejning

161.

For at vurdere, om den pågældende behandling er forholdsmæssig, skal der foretages en afvejning mellem de forskellige berørte rettigheder, frihedsrettigheder og interesser. Et mål af almen interesse kan ikke forfølges uden hensyntagen til den omstændighed, at dette mål skal forenes med de berørte grundlæggende rettigheder, hvilket i det foreliggende tilfælde indebærer en rimelig afvejning mellem målet af almen interesse og rettighederne for den person, hvis personoplysninger videregives  ( 100 ).

162.

Det skal tilføjes, at der i forbindelse med denne analyse skal tages hensyn til Domstolens besvarelse af det andet præjudicielle spørgsmål om, hvorvidt der er tale om helbredsoplysninger som omhandlet i databeskyttelsesforordningens artikel 9, og af det femte præjudicielle spørgsmål om oplysninger vedrørende straffedomme eller lovovertrædelser, der er omfattet af databeskyttelsesforordningens artikel 10. Overholdelse af princippet om »dataminimering« i forbindelse med følsomme oplysninger som omhandlet i databeskyttelsesforordningens artikel 9 er således ikke til hinder for, at personoplysninger videregives til offentligheden, når denne videregivelse er nødvendig og forholdsmæssig  ( 101 ). Det samme gælder, når de pågældende oplysninger henhører under databeskyttelsesforordningens artikel 10, forudsat at den lovgivning, som tillader denne videregivelse, fastsætter passende garantier for de berørte personers rettigheder og frihedsrettigheder  ( 102 ). Hvad angår oplysninger, der er omfattet af disse to bestemmelser, har de registreredes interesser imidlertid en særlig betydning ved interesseafvejningen  ( 103 ).

163.

I den foreliggende sag udgør den omhandlede behandling, som omfatter offentliggørelse online af den berørte idrætsudøvers identitet, et væsentligt indgreb i den grundlæggende ret til respekt for privatlivet og til beskyttelse af personoplysninger og kan fremkalde samfundets misbilligelse og føre til stigmatisering af den berørte person. Det er i øvrigt den »elektroniske gabestok«-effekt, der tilsigtes her.

164.

Indgrebets grovhed skal derfor afvejes over for vigtigheden af de formål, der forfølges med offentliggørelsen.

165.

Jeg gør opmærksom på, at den forelæggende rets spørgsmål vedrører den offentliggørelse, der foreskrives i ADBG, som gennemført af NADA og ÖADR, hvad angår professionelle idrætsudøvere, der ikke er omfattet af undtagelserne (som vedrører motionsidrætsudøvere, sårbare personer og whistleblowere). Offentliggørelsen af oplysninger består for deres vedkommende i en offentliggørelse med angivelse af navn, som er ubegrænset i omfang, eftersom oplysningerne udbredes til offentligheden via internettet, i nogle tilfælde ubegrænset i varighed i tilfælde af livsvarig suspendering (hvilket vedrører en af sagsøgerne i hovedsagen), systematisk og automatisk, som i henhold til ADBG ikke indebærer en individuel vurdering ud fra omstændighederne.

166.

Med alle de forbehold, som denne dimension af proportionalitetskontrollen altid tilsiger  ( 104 ), er jeg tilbøjelig til at mene, at kombinationen af disse forskellige elementer (offentliggørelse med angivelse af navn og dens ubegrænsede, systematiske og automatiske karakter) under visse omstændigheder sandsynligvis vil resultere i et indgreb i de berørte personers ret til beskyttelse af personoplysninger, således at kravene om en rimelig afvejning af de forskellige involverede interesser ikke er opfyldt.

167.

F.eks. kan det i tilfælde af en sanktion i form af en langvarig  ( 105 ) eller livsvarig suspendering af en mindre kendt idrætsudøver, hvis professionelle idrætsliv sluttede for nogen tid siden, antages, at den lovlige offentliggørelse af den pågældendes personoplysninger med tiden bliver for vidtgående i forhold til de tilsigtede formål.

168.

NADA har gjort gældende, at der ikke bør sondres på grundlag af overtrædelsernes grove eller gentagne karakter, eftersom der er taget hensyn hertil ved fastsættelsen af sanktionen, og det ikke har nogen indvirkning på offentliggørelsen, som skal finde sted uafhængigt af omstændighederne. Jeg er ikke overbevist af dette argument. Offentliggørelsen opfylder således formål, der, selv om de er et led i dopingbekæmpelsen, er specifikke og indebærer en interesseafvejning, der gør det muligt at tage hensyn til krav i databeskyttelsesforordningen, som ikke er taget i betragtning ved fastsættelsen af antidopingsanktionen.

169.

Jeg er derfor af den opfattelse, at en forpligtelse til at offentliggøre personoplysninger som den, der følger af ADBG og gennemføres af ÖADR og NADA, kun er tilladt, for så vidt som den, henset til de tilsigtede formål om afskrækkelse og om at forhindre omgåelse af antidopingreglerne, fortsat er forholdsmæssig, navnlig med hensyn til offentliggørelsens omfang og varighed, henset til de specifikke faktiske omstændigheder i sagen, hvilket det tilkommer den forelæggende ret at efterprøve.

Tidspunktet for afvejningen

170.

Den forelæggende ret ønsker oplyst, om databeskyttelsesforordningen kræver, at den dataansvarlige før offentliggørelsen foretager en interesseafvejning i hvert enkelt tilfælde, eller om den proportionalitetskontrol, som lovgiver har fastsat, er tilstrækkelig.

171.

I den foreliggende sag har lovgiver taget forud definerede situationer i betragtning uafhængigt af de særlige omstændigheder i hvert enkelt tilfælde og anført de elementer, som skal indgå i offentliggørelsen, dog med forbehold af visse undtagelser. Lovgiver har herved allerede reguleret offentliggørelsen og foretaget en vis afvejning mellem på den ene side interesserne for de idrætsudøvere, hvis personoplysninger videregives, og på den anden side de interesser, der er forbundet med bekæmpelse af doping.

172.

Jeg gør imidlertid opmærksom på, at de pågældende nationale antidopingorganer (her NADA og ÖADR) som dataansvarlige, der er udpeget af den nationale lovgiver, i henhold til databeskyttelsesforordningens artikel 5, stk. 2, fortsat er ansvarlige for gennemførelsen af behandlingen og ansvarlige (»accountable«) for, at princippet om lovlighed og princippet om proportionalitet i den nævnte behandling overholdes, samt for overholdelsen af princippet om dataminimering. De skal desuden kunne påvise, at bestemmelsens stk. 1 overholdes.

173.

De skal ligeledes i henhold til databeskyttelsesforordningens artikel 24, stk. 1, og artikel 25, stk. 1, gennemføre passende tekniske og organisatoriske foranstaltninger (såsom pseudonymisering) både på tidspunktet for fastlæggelsen af midlerne til behandling og på tidspunktet for selve behandlingen. Formålet med disse foranstaltninger, som om nødvendigt skal revideres og ajourføres, er en effektiv implementering af databeskyttelsesprincipper og en integrering af de fornødne garantier i behandlingen for at opfylde kravene i databeskyttelsesforordningen og beskytte den registreredes rettigheder  ( 106 ).

174.

Jeg gør i øvrigt opmærksom på, at selv om lovgiver har fastlagt formålene med behandlingen og delvist midlerne til denne behandling, er det i den foreliggende sag NADA og ÖADR, der som dataansvarlige og med ansvar for implementeringen heraf har valgt en offentliggørelse på internettet, og ÖADR har ligeledes valgt at offentliggøre navnet på det eventuelt omhandlede forbudte stof.

175.

I denne sammenhæng er svaret på det forelagte spørgsmål efter min opfattelse forbundet med indholdet i den nationale lovgivning, der finder anvendelse på den dataansvarlige, og dens grad af præcision. Efter min opfattelse fritager den omstændighed, at den nationale lovgiver har fastsat et princip om offentliggørelse, ikke den dataansvarlige fra ansvaret for at overholde databeskyttelsesforordningens krav og beskytte de registreredes rettigheder. Dette kan indebære, at den dataansvarlige i forbindelse med anvendelsen af den nationale lovgivning tager hensyn til de særlige omstændigheder i sagen  ( 107 ). Desuden gør jeg opmærksom på, at denne afvejning i hvert enkelt tilfælde påhviler den dataansvarlige i den foreliggende sag for så vidt angår offentliggørelse af oplysninger om de suspenderede idrætsudøvere, som er omfattet af databeskyttelsesforordningens undtagelser.

176.

Jeg er derfor af den opfattelse, at de ovennævnte bestemmelser i databeskyttelsesforordningen – selv om de ikke kræver det i alle tilfælde – kan indebære, at den dataansvarlige i hvert enkelt tilfælde foretager en interesseafvejning, når denne bl.a. fastlægger midlerne til behandlingen, herunder inden offentliggørelsen. I denne henseende kan der tages hensyn til forhold, der vedrører behandlingens karakter, omfang, sammenhæng og formål samt risiciene, af varierende sandsynlighed og alvor, for disse personers rettigheder og frihedsrettigheder.

177.

Hverken argumentet om, at en sådan skønsmargen fra den dataansvarliges side risikerer at føre til forskelsbehandling mellem idrætsudøvere, der befinder sig i sammenlignelige situationer, eller risikoen for vilkårlighed, misbrug eller endog korruption, som bl.a. Kommissionen og NADA har påberåbt sig, kan begrunde, at der undlades en sådan afvejning i hvert enkelt tilfælde, som har til formål at behandle personoplysninger på en måde, der er i overensstemmelse med databeskyttelsesforordningen. En sådan afvejning kan således netop forhindre den forskelsbehandling, der kan følge af anvendelsen af den samme behandling på forskellige situationer.

178.

Det følger efter min opfattelse heraf, at databeskyttelsesforordningens artikel 5 og 6, sammenholdt med samtlige de forpligtelser og det ansvar, der påhviler den dataansvarlige, skal fortolkes således, at disse bestemmelser ikke er til hinder for, at den dataansvarlige i hvert enkelt tilfælde foretager en interesseafvejning inden den nævnte behandling af oplysninger, eller endog således at de under visse omstændigheder kræver en sådan afvejning, hvis den er nødvendig for at behandle personoplysningerne i overensstemmelse med databeskyttelsesforordningen.

Konklusioner vedrørende det tredje og det fjerde spørgsmål

179.

På baggrund af det ovenstående foreslår jeg, at Domstolen besvarer det tredje spørgsmål således, at databeskyttelsesforordningens artikel 5, stk. 1, litra a) og c), og artikel 6, stk. 3, andet afsnit, skal fortolkes således, at disse bestemmelser er til hinder for en forpligtelse for nationale antidopingorganer til at offentliggøre personoplysninger, såsom navnene på de idrætsudøvere, der er blevet pålagt en sanktion for overtrædelse af antidopingreglerne, varigheden af den pålagte suspendering og grundene hertil (bl.a. navnet på det forbudte stof), når proportionalitetskravet, henset til de konkrete omstændigheder i sagen, ikke eller ikke længere er opfyldt, navnlig med hensyn til offentliggørelsens omfang og varighed, hvilket det tilkommer den forelæggende ret at efterprøve.

180.

For så vidt angår det fjerde spørgsmål foreslår jeg, at Domstolen fastslår, at databeskyttelsesforordningens artikel 5 og 6, sammenholdt med samtlige de forpligtelser og det ansvar, der påhviler den dataansvarlige, skal fortolkes således, at disse bestemmelser kræver, at den dataansvarlige inden behandlingen af oplysningerne foretager en interesseafvejning i hvert enkelt tilfælde, hvis denne afvejning er nødvendig for at behandle personoplysningerne på en måde, der er i overensstemmelse med databeskyttelsesforordningen.

Det syvende spørgsmål

181.

For at forstå det syvende spørgsmål er det nødvendigt først at minde om den sammenhæng, hvori det er stillet. Sagsøgeren YT indgav allerede inden offentliggørelsen af sine personoplysninger på NADA’s og ÖADR’s websteder en klage til den østrigske databeskyttelsesmyndighed på grundlag af databeskyttelsesforordningens artikel 17, der fastsætter retten til sletning. Sidstnævnte myndighed afviste YT’s klage, idet de pågældende oplysninger endnu ikke var blevet offentliggjort. Oplysningerne blev efterfølgende offentliggjort, mens søgsmålet til prøvelse af den østrigske databeskyttelsesmyndigheds afvisning af hans klage verserede.

182.

Med det syvende præjudicielle spørgsmål ønsker den forelæggende ret for det første oplyst, om en klage i henhold til databeskyttelsesforordningens artikel 77 vedrørende en hævdet overtrædelse af retten til sletning (databeskyttelsesforordningens artikel 17) kan antages til behandling, selv om behandlingen af den registreredes personoplysninger endnu ikke havde fundet sted på tidspunktet for indgivelsen af klagen til tilsynsmyndigheden og tidspunktet for tilsynsmyndighedens afgørelse.

183.

For det andet ønsker den oplyst, om en sådan klage efterfølgende kan antages til behandling, hvis der allerede ved indgivelsen af klagen forelå konkrete indikationer af, at den dataansvarlige umiddelbart forestående eller i nær fremtid ville foretage en behandling af personoplysninger.

Kan en klage indgivet til tilsynsmyndigheden inden databehandlingen antages til behandling?

184.

Databeskyttelsesforordningens artikel 77, stk. 1, fastsætter, at enhver registreret har ret til at indgive klage til en tilsynsmyndighed, »hvis den registrerede finder, at behandlingen af personoplysninger vedrørende vedkommende overtræder denne forordning«.

185.

I overensstemmelse med Domstolens faste praksis vil jeg ved fortolkningen af denne bestemmelse ikke blot tage hensyn til dens ordlyd, men også til den sammenhæng, hvori bestemmelsen indgår, og til de mål, der forfølges med den ordning, som den udgør en del af  ( 108 ).

186.

For det første fastsættes der i ordlyden af databeskyttelsesforordningens artikel 77 ikke en frist for at indgive en klage vedrørende behandling af personoplysninger. I tilfælde, hvor behandlingen har fundet sted og derefter anfægtes, gælder, at jo tidligere klagen indgives, desto hurtigere kan myndighedens kontrol finde sted, og desto hurtigere kan beskyttelsen af den registrerede sikres  ( 109 ). Databeskyttelsesforordningens artikel 77, stk. 1, nævner derimod ikke det tilfælde, hvor behandlingen endnu ikke har fundet sted. Jeg gør i denne henseende opmærksom på, at denne bestemmelse anvender ordet »overtræder« i nutid, hvilket forekommer at indebære, at behandlingen allerede skal have fundet sted, men at muligheden af en fremtidig behandling ikke som sådan er udelukket  ( 110 ).

187.

For det andet skal der med hensyn til sammenhængen henvises til tilsynsmyndighedernes opgaver og beføjelser. Hvad dette angår er hver tilsynsmyndighed i henhold til databeskyttelsesforordningens artikel 57, stk. 1, litra f), forpligtet til at behandle klager, der indgives af enhver registreret, og, for så vidt det er hensigtsmæssigt, undersøge genstanden for klagen og underrette klageren om forløbet og resultatet af undersøgelsen inden for en rimelig frist. Tilsynsmyndigheden skal således behandle en sådan klage »med den fornødne omhu«  ( 111 ).

188.

Desuden giver databeskyttelsesforordningens artikel 58, stk. 1, hver tilsynsmyndighed vigtige undersøgelsesbeføjelser i forbindelse med behandlingen af de indgivne klager. Når en sådan myndighed i forbindelse med sin undersøgelse konstaterer, at der foreligger en tilsidesættelse af denne forordnings bestemmelser, har den pligt til at reagere på en passende måde med henblik på at afhjælpe det konstaterede utilstrækkelige beskyttelsesniveau. Hvad dette angår opregner databeskyttelsesforordningens artikel 58, stk. 2, forskellige korrigerende foranstaltninger, som tilsynsmyndigheden kan anvende, og den har i denne forbindelse et skøn med hensyn til valget af de midler, der er hensigtsmæssige og nødvendige  ( 112 ). Blandt de beføjelser, som tilsynsmyndigheden er tillagt i henhold til databeskyttelsesforordningens artikel 58, stk. 2, litra d), kan den »udstede advarsler til en dataansvarlig om, at planlagte behandlingsaktiviteter sandsynligvis vil være i strid med databeskyttelsesforordningen, hvilket indgår i en tilgang, der kan kvalificeres som »beskyttende« med hensyn til den registreredes rettigheder  ( 113 ).

189.

Alle disse krav og tilsynsmyndighedernes beføjelser har til formål at styrke klageproceduren med henblik på at gøre den til en mekanisme, der er egnet til effektivt at beskytte de registreredes rettigheder og interesser, dvs. »en veritabel administrativ klage«  ( 114 ).

190.

Med hensyn til sammenhængen skal det også anføres – således som Kommissionen har fremhævet – at den dataansvarlige skal opfylde visse forpligtelser og navnlig underrette den registrerede, inden behandlingen foretages  ( 115 ).

191.

Det er derfor min opfattelse, at en beskyttende eller forebyggende tilgang fra tilsynsmyndighedernes side med hensyn til behandlingen af klager ikke umiddelbart kan udelukkes i forbindelse med databeskyttelsesforordningen.

192.

For det tredje bekræftes denne fortolkning af de formål, der forfølges med denne forordning. Det fremgår således bl.a. af 10. betragtning til forordningen, at den har til formål at sikre et højt niveau for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger inden for Unionen. Det fremgår endvidere af 11. betragtning til samme forordning, at en effektiv beskyttelse af sådanne oplysninger kræver, at de registreredes rettigheder styrkes.

193.

Såfremt tilsynsmyndighedernes forpligtelse til at behandle klager i henhold til databeskyttelsesforordningens artikel 57, stk. 1, litra f), begrænses ved at fortolke samme forordnings artikel 77, stk. 1, således, at den udelukker enhver mulighed for at indgive en klage til en tilsynsmyndighed »med henblik på en behandling«, kan det imidlertid være i strid med de formål, der forfølges med denne forordning, navnlig formålet om at sikre et højt niveau for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger inden for Unionen.

194.

Henset til disse betragtninger er det derfor min opfattelse, at det ikke kan udelukkes, at en klage, der indgives i henhold til databeskyttelsesforordningens artikel 77, kan antages til behandling, selv om behandlingen af den registreredes personoplysninger endnu ikke har fundet sted på det tidspunkt, hvor klagen indgives til tilsynsmyndigheden.

195.

Jeg er imidlertid enig med Kommissionen og den østrigske regering i, at den hævdede overtrædelse af databeskyttelsesforordningen skal være relevant, og at den pågældende behandling, som i det foreliggende tilfælde er offentliggørelse af personoplysninger, ikke er rent hypotetisk  ( 116 ).

196.

I den foreliggende sag har Domstolen fået forelagt en anmodning i henhold til databeskyttelsesforordningens artikel 17 om en klage med henblik på sletning af de omhandlede oplysninger, idet den berørte sagsøger i hovedsagen (YT) i denne henseende har præciseret, at offentliggørelsen af vedkommendes oplysninger »næsten med sikkerhed er umiddelbart forestående«.

197.

En klage med henblik på sletning af disse oplysninger forudsætter imidlertid (ligesom f.eks. en anmodning om berigtigelse af oplysninger), at den pågældende behandling, her offentliggørelsen af oplysningerne, har fundet sted. Det forekommer således umuligt for den dataansvarlige at behandle en sådan klage og slette oplysninger, hvis de endnu ikke er blevet videregivet, medmindre den pågældende klage fortolkes således, at den reelt har til formål at forhindre offentliggørelsen af den pågældendes oplysninger  ( 117 ) (og ikke at slette disse oplysninger), hvilket det tilkommer den forelæggende ret at vurdere.

198.

Det skal tilføjes, at en sådan fortolkning ikke er i strid med formålene om at sikre et højt niveau for beskyttelsen af personoplysninger, eftersom andre bestemmelser i databeskyttelsesforordningen gør det muligt at besvare anmodninger vedrørende en fremtidig behandling. Som den østrigske regering har anført, indebærer databeskyttelsesforordningens artikel 79, stk. 1, om adgang til effektive retsmidler således, at der i henhold til national ret skal være ret til at anlægge sag, såfremt der er en overhængende fare for ulovlig krænkelse af de rettigheder, der er tillagt ved databeskyttelsesforordningen. Dette omfatter muligheden i østrigsk ret for at anlægge forebyggende søgsmål med påstand om forbud, inden behandlingen påbegyndes, eller, hvis behandlingen er påbegyndt, muligheden for at anmode den østrigske myndighed om at føre tilsyn med begrænsningen af den nævnte behandling på grundlag af databeskyttelsesforordningens artikel 18.

199.

Jeg er derfor af den opfattelse, at det ikke kan udelukkes, at en klage, der indgives på grundlag af databeskyttelsesforordningens artikel 77, kan antages til behandling, selv om behandlingen af den registreredes personoplysninger endnu ikke har fundet sted på tidspunktet for indgivelsen af klagen til tilsynsmyndigheden, men er af en art, som ikke er rent hypotetisk. Under omstændighederne i tvisten i hovedsagen kan en klage, der er støttet på retten til sletning i henhold til databeskyttelsesforordningens artikel 17, imidlertid ikke antages til behandling, for så vidt den vedrører en behandling (her offentliggørelse af den registreredes personoplysninger), der, selv om den er umiddelbart forestående, hverken forelå på det tidspunkt, hvor den pågældende indgav sin klage til tilsynsmyndigheden, eller på tidspunktet for denne tilsynsmyndigheds vedtagelse af sin afgørelse.

Kan en klage til tilsynsmyndigheden »efterfølgende« antages til behandling?

200.

Jeg gør opmærksom på, at dette spørgsmål vedrører fortolkningen af databeskyttelsesforordningens artikel 77 om retten til at indgive klage til tilsynsmyndigheden. Den forelæggende ret ønsker således tilsyneladende oplyst, om en sådan klage, som er blevet afvist, efterfølgende kan antages til behandling af tilsynsmyndigheden, hvis den omhandlede behandling (her videregivelse af oplysninger) finder sted, mens der ved appelretten verserer et søgsmål til prøvelse af denne tilsynsmyndigheds afgørelse. Det er min opfattelse, at det i denne henseende tilkommer den nationale retsorden at regulere spørgsmålet om, hvorvidt appelretten i en sådan situation kan eller skal hjemvise spørgsmålet til tilsynsmyndigheden med henblik på en fornyet prøvelse i lyset af nye faktiske omstændigheder, om det påhviler den registrerede at indgive en klage på ny, eller om appelretten selv kan træffe afgørelse om den situation, som er indbragt for den, i lyset af nye faktiske omstændigheder, der i det foreliggende tilfælde består i offentliggørelsen af oplysningerne. I denne forbindelse skal det sikres, at der er en effektiv beskyttelse af de rettigheder, der er fastsat i databeskyttelsesforordningen, og en konsekvent og ensartet anvendelse af dens bestemmelser.

201.

For så vidt som den forelæggende rets spørgsmål skal forstås således – som den østrigske regering også har givet udtryk for – at det vedrører spørgsmålet om, hvorvidt en sådan klage kan antages til realitetsbehandling ved den ret, der skal træffe afgørelse i appelsagen, skal der i dette tilfælde foretages en undersøgelse af konsekvenserne af en faktuel ændring, dvs. en behandling, der består i offentliggørelse af personoplysninger, som har fundet sted efter tilsynsmyndighedens afgørelse, og selv om der verserer et søgsmål på grundlag af databeskyttelsesforordningens artikel 78 til prøvelse af denne afgørelse, såfremt der ved indgivelsen af klagen forelå konkrete indikationer af, at den dataansvarlige umiddelbart forestående eller i nær fremtid ville foretage en behandling af personoplysninger.

202.

Jeg vil gøre opmærksom på, at EU-lovgiver inden for rammerne af databeskyttelsesforordningen har givet registrerede, der gør gældende, at der foreligger en tilsidesættelse af bestemmelserne i denne forordning, adgang til forskellige retsmidler, forstået således, at ethvert af disse retsmidler skal kunne anvendes, »uden at dette berører« de andre retsmidler  ( 118 ).

203.

Databeskyttelsesforordningens artikel 78, stk. 1, bestemmer således, at enhver fysisk eller juridisk person, uden at det berører andre administrative eller udenretslige klageadgange, har ret til effektive retsmidler over for en juridisk bindende afgørelse truffet af en tilsynsmyndighed vedrørende vedkommende. Det følger heraf, at de domstole, hvorved der anlægges en sag til prøvelse af en tilsynsmyndigheds afgørelse, bør have fuld jurisdiktion, herunder jurisdiktion til at undersøge alle de faktiske og retlige omstændigheder, der er relevante for den tvist, som de får forelagt  ( 119 ). Domstolsprøvelsen af en klageafgørelse, der er vedtaget af en tilsynsmyndighed, skal derfor være fuldstændig, for at der er tale om et »effektivt« retsmiddel som krævet i denne bestemmelse  ( 120 ). Desuden sikrer forordningens artikel 79, stk. 1, den enkelte registrerede adgang til effektive retsmidler, »uden at det berører andre tilgængelige administrative eller udenretslige klageadgange, herunder retten til at indgive klage til en tilsynsmyndighed i henhold til artikel 77«.

204.

Det er ganske vist allerede fastslået, at EU-lovgiver med vedtagelsen af databeskyttelsesforordningen ikke havde til hensigt at foretage en udtømmende harmonisering af de retsmidler, der er til rådighed i tilfælde af overtrædelse af databeskyttelsesforordningens bestemmelser, og som er fastsat i denne forordnings artikel 77-79  ( 121 ). Når der indgives en klage til en tilsynsmyndighed og anlægges et søgsmål ved domstolene i én og samme medlemsstat vedrørende én og samme behandling af personoplysninger, er der navnlig ikke fastsat særlige regler i databeskyttelsesforordningen.

205.

Selv om EU-lovgiver ikke havde til hensigt at foretage en udtømmende harmonisering i denne henseende, var ønsket imidlertid ikke at udelukke den mulighed, der er nævnt i den forelæggende rets spørgsmål, dvs. at tillade, at en klage, der er indgivet under omstændigheder som de i hovedsagen omhandlede, efterfølgende antages til behandling.

206.

Hvis der ikke findes EU-retlige bestemmelser på området, tilkommer det således hver enkelt medlemsstat i medfør af princippet om medlemsstaternes procesautonomi at fastsætte regler for de administrative og retslige procedurer, der skal sikre et højt niveau for beskyttelsen af de rettigheder, som borgerne har i medfør af EU-retten. I denne forbindelse påhviler det den nationale ret at påse, at den effektive beskyttelse af de rettigheder, der sikres ved databeskyttelsesforordningen, og den konsekvente og ensartede anvendelse af denne forordnings bestemmelser tillige med adgangen til effektive retsmidler for en domstol, jf. chartrets artikel 47, sikres  ( 122 ).

207.

Derfor tilkommer det den forelæggende ret på grundlag af de nationale processuelle bestemmelser at afgøre, hvorledes de i databeskyttelsesforordningen omhandlede retsmidler skal anvendes i hvert enkelt tilfælde. I denne henseende skal den sikre sig, at de konkrete nærmere bestemmelser for udøvelsen af retsmidlerne ikke i uforholdsmæssig grad berører retten til effektive retsmidler for en domstol. Den skal ligeledes påse, at den effektive beskyttelse af de rettigheder, der sikres ved databeskyttelsesforordningen, sikres, og at disse regler overholder effektivitetsprincippet og ækvivalensprincippet  ( 123 ).

208.

Da den forelæggende ret ikke har præciseret, hvilke muligheder den nationale lovgivning giver, skal databeskyttelsesforordningens artikel 77, stk. 1, sammenholdt med denne forordnings artikel 78, stk. 1, derfor efter min opfattelse fortolkes således, at den ikke er til hinder for, at en klage, som tilsynsmyndigheden tidligere har afvist, kan antages til behandling, når behandlingen af oplysninger finder sted, mens søgsmålet vedrørende de samme faktiske omstændigheder verserer for retten. Det tilkommer det nationale retssystem, under overholdelse af ækvivalensprincippet og effektivitetsprincippet, at fastsætte betingelserne for, at en sådan klage kan antages til behandling, både ved tilsynsmyndigheden og ved domstolene, således at den effektive beskyttelse af de rettigheder, der sikres ved databeskyttelsesforordningen, den konsekvente og ensartede anvendelse af dens bestemmelser tillige med adgangen til effektive retsmidler for en domstol sikres.

Konklusion vedrørende det syvende spørgsmål

209.

På baggrund af samtlige ovenstående betragtninger foreslår jeg, at Domstolen besvarer det syvende spørgsmål således, at databeskyttelsesforordningens artikel 77 skal fortolkes således, at en klage på grundlag af denne forordnings artikel 17 (hævdet tilsidesættelse af retten til sletning), ikke kan antages til behandling, når den vedrører en behandling i form af offentliggørelse af den registreredes personoplysninger, som, selv om den er nært forestående, hverken forelå på tidspunktet for den registreredes indgivelse af en klage til tilsynsmyndigheden eller på tidspunktet for vedtagelsen af den nævnte myndigheds afgørelse, uden at dette dog berører den eventuelle antagelse til behandling af en klage vedrørende en behandling af personoplysninger, der ikke er rent hypotetisk, og som er egnet til præventive eller beskyttende foranstaltninger fra tilsynsmyndighedens side.

210.

Sammenholdt med databeskyttelsesforordningens artikel 78, stk. 1, er forordningens artikel 77 i øvrigt ikke til hinder for, at en klage, som tilsynsmyndigheden tidligere har afvist, kan antages til behandling, når behandlingen af oplysninger finder sted, mens søgsmålet vedrørende de samme faktiske omstændigheder verserer for retten. Det tilkommer det nationale retssystem, under overholdelse af ækvivalensprincippet og effektivitetsprincippet, at fastsætte betingelserne for, at en sådan klage kan antages til behandling, både ved tilsynsmyndigheden og ved domstolene, således at den effektive beskyttelse af de rettigheder, der sikres ved databeskyttelsesforordningen, den konsekvente og ensartede anvendelse af dens bestemmelser tillige med adgangen til effektive retsmidler for en domstol sikres.

Forslag til afgørelse

211.

På baggrund af det ovenstående foreslår jeg, at Domstolen besvarer de præjudicielle spørgsmål, der er forelagt af Bundesverwaltungsgericht (forbundsdomstol i forvaltningsretlige sager, Østrig), på følgende måde:

–

en klage på grundlag af denne forordnings artikel 17 (hævdet tilsidesættelse af retten til sletning), ikke kan antages til behandling, når den vedrører en behandling i form af offentliggørelse af den registreredes personoplysninger, som, selv om den er nært forestående, hverken forelå på tidspunktet for den registreredes indgivelse af en klage til tilsynsmyndigheden eller på tidspunktet for vedtagelsen af den nævnte myndigheds afgørelse, uden at dette dog berører den eventuelle antagelse til behandling af en klage vedrørende en behandling af personoplysninger, der ikke er rent hypotetisk, og som er egnet til præventive eller beskyttende foranstaltninger fra tilsynsmyndighedens side.

–

Sammenholdt med artikel 78, stk. 1, i forordning 2016/679 er bestemmelsen ikke til hinder for, at en klage, som tilsynsmyndigheden tidligere har afvist, kan antages til behandling, når behandlingen af oplysninger finder sted, mens søgsmålet vedrørende de samme faktiske omstændigheder verserer for retten. Det tilkommer det nationale retssystem, under overholdelse af ækvivalensprincippet og effektivitetsprincippet, at fastsætte betingelserne for, at en sådan klage kan antages til behandling, både ved tilsynsmyndigheden og ved domstolene, således at den effektive beskyttelse af de rettigheder, der sikres ved forordning 2016/679, den konsekvente og ensartede anvendelse af dens bestemmelser tillige med adgangen til effektive retsmidler for en domstol sikres.«