Édition provisoire
CONCLUSIONS DE L’AVOCAT GÉNÉRAL
M. DEAN SPIELMANN
présentées le 25 septembre 2025 (1)
Affaire C‑474/24
AR,
YT,
DI,
RN
en présence de :
Österreichische Datenschutzbehörde,
Nationale Anti-Doping Agentur Austria GmbH (NADA Austria),
Österreichische Anti-Doping Rechtskommission (ÖADR)
[demande de décision préjudicielle formée par le Bundesverwaltungsgericht (tribunal administratif fédéral, Autriche)]
« Renvoi préjudiciel – Protection des données personnelles – Règlement (UE) 2016/679 – Articles 2, 5, 6, 9 et 10 – Champ d’application – Notion de “données concernant la santé” – Notion de “données à caractère personnel relatives aux condamnations pénales et aux infractions” – Lutte contre le dopage dans le domaine du sport – Publication en ligne du nom de la personne ayant violé les règles antidopage, de la durée de son exclusion des évènements sportifs ainsi que des raisons de cette exclusion – Mise en balance des intérêts – Proportionnalité – Articles 77 à 79 – Voies de recours – Protection juridictionnelle effective »
Table des matières
Introduction
Le cadre juridique
Le droit de l’Union
Le droit autrichien
Le litige au principal, les questions préjudicielles et la procédure devant la Cour
Analyse
Sur la première question
Sur l’interprétation stricte de l’exception de l’article 2, paragraphe 2, sous a), du RGPD
L’activité « antidopage » n’échappe pas au RGPD…
– … même si elle relève des États membres
– … et malgré son « absence » de caractère économique
Conclusion sur la première question
Sur la deuxième question
Sur l’interprétation large de la notion de « données concernant la santé »
Application en l’espèce
Conclusion sur la deuxième question
Sur la cinquième question
Enjeu de la nature « pénale » des condamnations et infractions au sens de l’article 10 du RGPD
Analyse de la nature « pénale » ou non, au sens de l’article 10 du RGPD, des condamnations et infractions antidopage
– Qualification juridique de l’infraction en droit interne
– Nature de l’infraction
– Degré de sévérité de la sanction
Conclusion sur la cinquième question
Sur la sixième question
Sur les troisième et quatrième questions
Sur la proportionnalité de la publication en cause
– Observations liminaires et rappel des principes
– Sur l’aptitude de la publication à atteindre les objectifs visés
– Sur la nécessité de la publication au vu des objectifs visés
– Sur la proportionnalité « stricto sensu », à savoir la mise en balance des intérêts en présence
Sur le moment de la mise en balance
Conclusion sur les troisième et quatrième questions
Sur la septième question
La réclamation auprès de l’autorité de contrôle avant le traitement de données est-elle recevable ?
La réclamation auprès de l’autorité de contrôle devient-elle recevable « a posteriori » ?
Conclusion sur la septième question
Conclusion
Introduction
1. La réglementation sportive se trouve aux confins de plusieurs sources normatives. En témoigne la réglementation antidopage qui est le fruit d’une co-production normative privée et publique. En particulier, le Code mondial antidopage (CMA), pris en application des statuts de l’Agence mondiale antidopage (AMA), est un instrument de nature privée que les États signataires se sont engagés à respecter à travers la convention internationale des Nations unies contre le dopage dans le sport (2). Cette réglementation, destinée à harmoniser les politiques, règles et règlements antidopage des organisations sportives et des autorités publiques à travers le monde, forme ainsi un système juridique sectoriel transnational bien spécifique (3).
2. La Cour a déjà été appelée à se prononcer sur la compatibilité de réglementations sportives au regard du droit de l’Union, sous l’angle notamment de la libre prestation de services ou de la concurrence (4).
3. La présente affaire donne à la Cour l’occasion, inédite (5), d’appréhender certains aspects de la réglementation antidopage au regard des exigences liées à la protection des données à caractère personnel. Il s’agit en effet de concilier, d’une part, les exigences d’un sport éthique, qui se traduiraient en l’occurrence par la publication nominative, en ligne, des sanctions infligées aux sportifs lorsqu’ils enfreignent les règles antidopage, et, d’autre part, la protection des données à caractère personnel de ces sportifs, découlant du règlement (UE) 2016/679 (6) (ci-après le « RGPD »).
4. À l’heure où le CMA est en cours de révision (7), la portée de l’arrêt à intervenir pourrait dépasser les frontières européennes.
Le cadre juridique
Le droit de l’Union
5. L’article 16 TFUE prévoit, dans son paragraphe 1, que toute personne a droit à la protection des données à caractère personnel la concernant. Son paragraphe 2 dispose que « [l]e Parlement européen et le Conseil, statuant conformément à la procédure législative ordinaire, fixent les règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union, ainsi que par les États membres dans l’exercice d’activités qui relèvent du champ d’application du droit de l’Union, et à la libre circulation de ces données. Le respect de ces règles est soumis au contrôle d’autorités indépendantes ».
6. L’article 165 TFUE prévoit, dans son paragraphe 2, que l’action de l’Union vise notamment à « développer la dimension européenne du sport, en promouvant l’équité et l’ouverture dans les compétitions sportives et la coopération entre les organismes responsables du sport, ainsi qu’en protégeant l’intégrité physique et morale des sportifs, notamment des plus jeunes d’entre eux ». À cet effet, son paragraphe 4 prévoit que le « Conseil adopte, sur proposition de la Commission, des recommandations ».
7. Le considérant 35 du RGPD prévoit que « [l]es données à caractère personnel concernant la santé devraient comprendre l’ensemble des données se rapportant à l’état de santé d’une personne concernée qui révèlent des informations sur l’état de santé physique ou mentale passé, présent ou futur de la personne concernée. Cela comprend des informations sur la personne physique collectées lors de l’inscription de cette personne physique en vue de bénéficier de services de soins de santé [...], un numéro, un symbole ou un élément spécifique attribué à une personne physique pour l’identifier de manière unique à des fins de santé ; des informations obtenues lors du test ou de l’examen d’une partie du corps ou d’une substance corporelle, y compris à partir de données génétiques et d’échantillons biologiques ; et toute information concernant, par exemple, une maladie, un handicap, un risque de maladie, les antécédents médicaux, un traitement clinique ou l’état physiologique ou biomédical de la personne concernée, indépendamment de sa source, qu’elle provienne par exemple d’un médecin ou d’un autre professionnel de la santé, d’un hôpital, d’un dispositif médical ou d’un test de diagnostic in vitro ».
8. L’article 2 du RGPD, intitulé « Champ d’application matériel », dispose à son paragraphe 1 que « [l]e présent règlement s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier ». Il résulte de l’article 2, paragraphe 2, sous a), du RGPD que ce règlement ne s’applique pas au traitement de données à caractère personnel effectué « dans le cadre d’une activité qui ne relève pas du champ d’application du droit de l’Union ».
9. L’article 4 du RGPD, intitulé « Définitions », prévoit au point 15 qu’aux fins de ce règlement, on entend par « “données concernant la santé”, les données à caractère personnel relatives à la santé physique ou mentale d’une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l’état de santé de cette personne ».
10. L’article 5 dudit règlement, intitulé « Principes relatifs au traitement des données à caractère personnel », prévoit :
« 1. Les données à caractère personnel doivent être :
a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ;
[...]
c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ;
[...] »
11. L’article 6 de ce même règlement, intitulé « Licéité du traitement », énonce :
« 1. Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :
[...]
c) le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ;
[...]
e) le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ;
[...]
3. Le fondement du traitement visé au paragraphe 1, points c) et e), est défini par :
a) le droit de l’Union ; ou
b) le droit de l’État membre auquel le responsable du traitement est soumis.
Les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe 1, point e), sont nécessaires à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement. Cette base juridique peut contenir des dispositions spécifiques pour adapter l’application des règles du présent règlement, entre autres : les conditions générales régissant la licéité du traitement par le responsable du traitement ; les types de données qui font l’objet du traitement ; les personnes concernées ; les entités auxquelles les données à caractère personnel peuvent être communiquées et les finalités pour lesquelles elles peuvent l’être ; la limitation des finalités ; les durées de conservation ; et les opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que celles prévues dans d’autres situations particulières de traitement comme le prévoit le chapitre IX. Le droit de l’Union ou le droit des États membres répond à un objectif d’intérêt public et est proportionné à l’objectif légitime poursuivi.
[...] »
12. L’article 9, paragraphe 1, du RGPD, intitulé « Traitement portant sur des catégories particulières de données à caractère personnel », interdit notamment le traitement des données à caractère personnel concernant la santé. Il résulte de l’article 9, paragraphe 2, sous g), de ce règlement que le paragraphe 1 ne s’applique pas si « le traitement est nécessaire pour des motifs d’intérêt public important, sur la base du droit de l’Union ou du droit d’un État membre qui doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée ».
13. L’article 10 du RGPD, intitulé « Traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions », prévoit que « [l]e traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions [...] ne peut être effectué que sous le contrôle de l’autorité publique, ou si le traitement est autorisé par le droit de l’Union ou par le droit d’un État membre qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées. Tout registre complet des condamnations pénales ne peut être tenu que sous le contrôle de l’autorité publique ».
14. L’article 77 du RGPD, intitulé « Droit d’introduire une réclamation auprès d’une autorité de contrôle », dispose à son paragraphe 1 :
« Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement. »
15. L’article 78 du RGPD, intitulé « Droit à un recours juridictionnel effectif contre une autorité de contrôle », prévoit à son paragraphe 1 :
« Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne physique ou morale a le droit de former un recours juridictionnel effectif contre une décision juridiquement contraignante d’une autorité de contrôle qui la concerne. »
Le droit autrichien
16. Il résulte de l’article 5, paragraphe 5, de l’Anti-Doping-Bundesgesetz 2021 (loi fédérale relative à l’antidopage 2021), du 23 décembre 2020 (BGBl. I, 152/2020) (ci-après l’« ADBG »), que la Nationale Anti-Doping Agentur Austria GmbH (Agence indépendante de lutte contre le dopage, Autriche, ci-après « NADA ») est une société d’utilité publique à responsabilité limitée qui exerce les fonctions d’organisme indépendant de contrôle du dopage et est responsable du traitement des données à caractère personnel.
17. En application de l’article 5, paragraphe 6, point 4, de l’ADBG, NADA informe la Bundes-Sportorganisation (Organisation fédérale du sport, Autriche), les organisations sportives, les sportifs, les autres personnes, ainsi que les organisateurs de compétitions, et met gratuitement à la disposition du grand public certains éléments d’informations, à savoir « les mesures conservatoires (par exemple, les suspensions) et les interdictions visant les sportifs et d’autres personnes, qui ont été portées à [son] attention [...], et leur levée, en indiquant le nom des personnes concernées, la durée de l’interdiction et les motifs de celle-ci, sans qu’il soit possible de remonter à des catégories particulières de données à caractère personnel des personnes concernées, notamment des données relatives à la santé. Cette information peut être omise pour les personnes particulièrement vulnérables et les sportifs amateurs [...] ».
18. L’article 6, paragraphe 2, de l’ADBG prévoit notamment que NADA veille à la sécurité des données à caractère personnel et des catégories particulières de données à caractère personnel, conformément aux articles 32 à 34 du RGPD. Cette disposition précise que « la nécessité de traiter les données découle de la mise en œuvre effective des règles antidopage du [CMA] et des dispositions de la présente loi fédérale, dans la mesure où les personnes concernées se sont engagées contractuellement à respecter le CMA ». De plus, « [d]es catégories spéciales de données à caractère personnel, notamment les données relatives à la santé, ne peuvent être traitées que dans la mesure où cela est strictement nécessaire en vertu des dispositions antidopage de la présente loi fédérale ou du CMA ».
19. L’Österreichische Anti-Doping Rechtskommission (Commission juridique antidopage autrichienne, ci-après l’« ÖADR ») est une commission publique et indépendante des organes gouvernementaux, des particuliers et de NADA, qui, en application de l’article 7, paragraphe 1, de l’ADBG, doit « mener des procédures disciplinaires pour la fédération sportive fédérale respectivement compétente conformément aux règles antidopage en vigueur de la fédération sportive internationale compétente (procédure antidopage) ».
20. En vertu de l’article 21, paragraphe 3, de l’ADBG, l’ÖADR doit, « au plus tard 20 jours après que la décision est devenue définitive, informer la Bundes-Sportorganisation [Organisation fédérale du sport], les organisations sportives, les sportives et sportifs, les autres personnes et les organisateurs de compétitions, ainsi que le grand public, des mesures conservatoires imposées (par exemple les suspensions) et des décisions prises dans le cadre de procédures antidopage, en indiquant le nom de la personne concernée, la durée de la suspension et les motifs de celle-ci, sans qu’il soit possible de remonter aux données relatives à la santé de la personne concernée. Cette information peut être omise dans le cas des personnes particulièrement vulnérables, des sportifs amateurs et des personnes qui ont contribué de manière significative à la détection de violations potentielles des règles antidopage en communiquant des informations ou d’autres indications. Une divulgation concernant les sportifs amateurs est effectuée pour des raisons de santé publique lorsqu’une violation des règles antidopage a été constatée conformément à l’article 1er, paragraphe 2, point 3 ainsi que points 9 à 11 ».
21. Il résulte en substance de l’article 23, paragraphe 14, de l’ADBG que les mêmes obligations s’imposent à l’Unabhängige Schiedskommission (Commission indépendante d’arbitrage, Autriche, ci-après l’« USK »).
Le litige au principal, les questions préjudicielles et la procédure devant la Cour
22. Dans le cadre de procédures antidopage, les sportifs AR, YT, DI et RN (ci-après les « requérants ») ont fait l’objet de décisions de suspension (pour une période déterminée ou à vie selon les cas), prises soit par l’ÖADR, compétente pour mener les procédures antidopage, soit par l’USK, compétente pour réexaminer les décisions de l’ÖADR.
23. En vertu de la législation autrichienne en matière d’antidopage, les suspensions décidées par l’ÖADR ou l’USK sont publiées sous forme de liste sur son site Internet par NADA. Pour la durée des suspensions, cette liste comprend le prénom et le nom de l’athlète concerné, le sport pratiqué, la violation des règles antidopage commise, la sanction infligée ainsi que le début et la fin de celle-ci. L’ÖADR publie également ces mêmes données, ainsi que la substance interdite éventuellement en cause, par un communiqué sur son propre site Internet.
24. Les requérants ont demandé, les 14 et 15 octobre 2021, à l’ÖADR et à NADA de ne plus faire apparaître leurs noms et disciplines sportives respectives. L’ÖADR et NADA n’ont pas donné suite à ces demandes.
25. Le 22 octobre 2021, les requérants ont saisi l’Österreichische Datenschutzbehörde (autorité autrichienne de protection des données, Autriche, ci-après l’« autorité autrichienne de protection des données ») d’une réclamation en application de l’article 77, paragraphe 1, du RGPD, visant à constater la violation du droit à l’effacement et à la limitation des données et à ordonner à l’ÖADR et à NADA de supprimer la publication de leurs noms et des sports pratiqués sur lesdits sites Internet. Ils ont également fait valoir qu’il s’agissait d’une catégorie particulière de données à caractère personnel ainsi que d’un traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions, au sens respectivement des articles 9 et 10 du RGPD. Le régime indifférencié de publication prévu en droit autrichien serait incompatible avec l’article 6, paragraphe 3, du RGPD et ne serait ni nécessaire ni proportionné.
26. Le 26 novembre 2021, l’autorité autrichienne de protection des données a rejeté comme non-fondée cette réclamation. Concernant plus particulièrement YT, sa réclamation a été rejetée pour manque d’intérêt à agir, au motif que ses données n’avaient pas encore été publiées.
27. Les requérants ont alors introduit un recours devant le Bundesverwaltungsgericht (tribunal administratif fédéral, Autriche), qui est la juridiction de renvoi, fondé sur l’article 78, paragraphe 1, du RGPD. Dans ce cadre, NADA, première partie défenderesse au principal, a avancé que la publication des données à caractère personnel sur son site Internet était nécessaire au respect d’une obligation légale à laquelle elle était soumise et à l’exécution d’une mission d’intérêt public au sens de l’article 6, paragraphe 1, sous c) et e), du RGPD.
28. La juridiction de renvoi a suspendu la procédure au principal en raison de l’introduction, par l’USK, de la demande de décision préjudicielle dans l’affaire NADA e.a. (8). Après le rejet de cette demande pour irrecevabilité par arrêt du 7 mai 2024 (9), la procédure nationale devant la juridiction de renvoi a repris son cours.
29. Dans ce contexte, le Bundesverwaltungsgericht (tribunal administratif fédéral) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :
« 1) Les traitements des données de personnes par lesquels leurs noms, la discipline sportive pratiquée, la violation des règles antidopage commise, la sanction [prononcée] ainsi que le début et la fin de la sanction sont publiés sur la partie accessible au public du site Internet de [NADA] https://www.nada.at/de/recht/suspendierungen-sperren, sous forme d’une inscription dans un tableau, ainsi que dans des communiqués de presse de [l’ÖADR] accessibles au public à l’adresse https://www.oeadr.at, relèvent-ils du champ d’application du droit de l’Union au sens de l’article 16, paragraphe 2, première phrase, TFUE, de sorte que le [RGPD] s’applique à de tel[s] traitement[s] de données à caractère personnel ?
En cas de réponse affirmative à la première question :
2) L’information selon laquelle une personne déterminée a commis une violation spécifique des règles antidopage et fait l’objet d’une interdiction de participation à des compétitions (nationales et internationales) en raison de cette violation est-elle une “donnée concernant la santé” au sens de l’article 9 du RGPD ?
3) Le RGPD s’oppose-t-il – notamment au regard de son article 6, paragraphe 3, deuxième alinéa – à une réglementation nationale qui prévoit la publication du nom des personnes concernées par la décision de la Commission juridique antidopage autrichienne ou de la Commission arbitrale indépendante ainsi que de la durée de l’interdiction et des motifs de celle-ci, sans qu’il soit possible de remonter aux données relatives à la santé de la personne concernée ? Le fait que la réglementation nationale prévoit que la publication de ces informations à l’intention du grand public ne peut être omise que si la personne concernée est un sportif amateur, un mineur ou une personne ayant contribué de manière significative à la détection de violations potentielles des règles antidopage en communiquant des informations ou d’autres indications a-t-il une incidence à cet égard ?
4) Le RGPD exige-t-il – notamment au regard des principes visés à son article 5, paragraphe 1, sous a) et c) –, en tout état de cause avant la publication, une mise en balance des intérêts personnels du particulier concerné susceptibles d’être affectés par une publication, d’une part, et de l’intérêt du public à être informé de la violation des règles antidopage commise par un sportif, d’autre part ?
5) L’information selon laquelle une personne déterminée a commis une violation spécifique des règles antidopage et est interdite de participation à des compétitions (nationales et internationales) en raison de cette violation constitue-t-elle un traitement de données à caractère personnel relatives aux condamnations pénales et aux infractions au sens de l’article 10 du RGPD ?
6) En cas de réponse affirmative à la cinquième question :
Les activités ou les décisions d’une autorité à laquelle le contrôle du traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes ont été confiées conformément à l’article 10 du RGPD sont-elles soumises à un contrôle juridictionnel ?
7) Une réclamation au titre de l’article 77 du RGPD concernant une violation alléguée de l’article 17 du RGPD, alors qu’il n’y avait pas encore de traitement de données à caractère personnel de la personne concernée au moment de l’introduction de la réclamation auprès de l’autorité de contrôle et que cette dernière a pris une décision, mais que le traitement a eu lieu au cours de la procédure devant la juridiction d’appel, est-elle recevable ou devient-elle recevable a posteriori si, au moment de l’introduction de la réclamation, il existe déjà des indices concrets qu’un traitement de données à caractère personnel par le responsable du traitement est imminent ou aura lieu dans un avenir proche ? »
30. Des observations écrites ont été déposées par les requérants au principal, NADA, l’autorité autrichienne de protection des données, la Commission, ainsi que les gouvernements autrichien, letton, néerlandais, polonais et finlandais. Les requérants au principal, NADA, la Commission, ainsi que les gouvernements autrichien, letton et finlandais ont également présenté leurs observations orales lors de l’audience qui s’est tenue publiquement le 13 mai 2025.
Analyse
31. Après avoir examiné la première question préjudicielle sur l’applicabilité du RGPD, j’analyserai les deuxième, cinquième et sixième questions qui concernent certaines données particulières, avant d’étudier la question relative au principe de proportionnalité (troisième et quatrième questions préjudicielles). Enfin, j’examinerai la septième question, de nature plus procédurale.
Sur la première question
32. Par sa première question, la juridiction de renvoi demande, en substance, si la mise en œuvre de la législation antidopage constitue ou non une « activité » qui relève du « champ d’application du droit de l’Union » au sens de l’article 16, paragraphe 2, première phrase, TFUE.
33. L’enjeu de cette réponse est de taille puisque, dans la négative, le RGPD ne s’appliquerait pas au litige au principal. En effet, adopté sur le fondement de l’article 16 TFUE, le RGPD, par son article 2, paragraphe 2, sous a), exclut de son champ d’application le traitement de données à caractère personnel effectué dans le cadre d’une activité « qui ne relève pas du champ d’application du droit de l’Union ».
34. À titre liminaire, et même si elle n’est pas mentionnée par le juge de renvoi, je souhaite rappeler que l’exception visée à l’article 2, paragraphe 2, sous d), du RGPD prévoit que ce règlement ne s’applique pas aux traitements de données à caractère personnel effectués « par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales [...] ». Cette exception s’explique par le fait que les traitements de données à caractère personnel à de telles fins par les « autorités compétentes » sont régis par un acte plus spécifique de l’Union, à savoir la directive (UE) 2016/680 (10), adoptée le même jour que le RGPD. Il n’est pas exclu, à ce stade, que le critère matériel de cette exception puisse être rempli en l’espèce. En effet, la question de savoir si le traitement des données en cause en l’espèce est effectué aux fins visées par l’article 2, paragraphe 2, sous d), du RGPD nous renvoie à l’objet de la cinquième question préjudicielle (relative à l’article 10 du RGPD), concernant la nature pénale ou non des condamnations et infractions faisant l’objet des traitements de données en cause. Toutefois, le critère organique de l’exception visée par l’article 2, paragraphe 2, sous d), du RGPD n’a pas été abordé : NADA et l’ÖADR constituent-elles des « autorités compétentes » au sens de l’article 3, paragraphe 7, de la directive 2016/680 ? Dans la négative, le RGPD s’applique, ce qui constituera mon hypothèse de travail pour la suite de l’analyse. En revanche, dans l’affirmative et dans l’hypothèse où le critère matériel serait également rempli, la question de l’applicabilité de la directive 2016/680 en lieu et place du RGPD se poserait, ce qu’il incombe à la juridiction de vérifier.
35. Cette remarque étant faite, je relève que, en l’occurrence, il n’est pas contesté que les traitements de données à caractère personnel en cause, effectués par les autorités autrichiennes antidopage et consistant en la publication sur Internet des noms des sportifs concernés, de la discipline sportive pratiquée, de la violation des règles antidopage commise, de la sanction prononcée ainsi que du début et de la fin de cette sanction, correspondent aux traitements auxquels le RGPD s’applique en vertu de son article 2, paragraphe 1, à savoir des traitements de données à caractère personnel automatisés en tout ou en partie (11).
36. La question qui se pose de façon plus controversée est celle de savoir si ce traitement entre dans le champ de l’exception prévue à l’article 2, paragraphe 2, sous a), du RGPD.
37. Dans le cadre de mon analyse, je rappellerai, dans un premier temps, le principe d’interprétation stricte de l’exception de l’article 2, paragraphe 2, sous a), du RGPD et en tirerai, dans un second temps, les conséquences concernant l’activité antidopage au regard des arguments avancés par NADA.
Sur l’interprétation stricte de l’exception de l’article 2, paragraphe 2, sous a), du RGPD
38. Conformément à une jurisprudence constante, l’exception prévue à l’article 2, paragraphe 2, sous a), du RGPD, en tant qu’elle rend inapplicable le régime de protection des données à caractère personnel prévu par le RGPD et s’écarte ainsi de son objectif de protection, doit recevoir une interprétation stricte (12).
39. En effet, comme indiqué en substance dans les considérants 6 à 12 du RGPD, l’évolution rapide des technologies, la mondialisation et l’ampleur de la collecte et du partage de données à caractère personnel nécessitent un cadre de protection des données solide et cohérent dans l’Union, assurant un niveau élevé de protection des droits et des libertés des personnes physiques à l’égard du traitement de ces données, équivalent dans tous les États membres, assorti d’une application rigoureuse des règles, de sorte à susciter la confiance de nature à permettre à l’économie numérique de se développer dans l’ensemble du marché intérieur.
40. Dans cette optique, le champ d’application matériel du RGPD, fixé à son article 2, est donc nécessairement large et les exceptions qu’il prévoit font l’objet d’une interprétation stricte. La Cour a ainsi jugé que l’article 2, paragraphe 2, sous a), du RGPD, lu à la lumière de son considérant 16, a pour seul objet d’exclure du champ d’application de celui-ci les traitements de données à caractère personnel effectués dans le cadre d’une activité qui vise à préserver la sécurité nationale ou d’une activité pouvant être rangée dans la même catégorie.
41. Les activités qui ont pour but de préserver la sécurité nationale couvrent, en particulier, celles ayant pour objet de protéger les fonctions essentielles de l’État et les intérêts fondamentaux de la société (13).
42. En revanche, ce sont non pas des personnes, en tant que telles, qui se trouvent soustraites à l’application du RGPD, mais uniquement leurs activités en cause (14). En effet, le seul fait qu’une activité soit propre à l’État ou à une autorité publique ne suffit pas pour que cette exception soit automatiquement applicable à cette activité (15). Ne suffit pas davantage le fait que l’auteur du traitement en cause ait des activités relatives à la sécurité nationale, dès lors que c’est l’activité en cause dans le cadre du traitement concerné qui est seule pertinente (16). Ne suffit pas non plus le fait que dans le cadre d’un transfert de données à des fins commerciales depuis un État membre vers un pays tiers, les données en cause soient susceptibles d’être traitées, au cours ou à la suite de ce transfert, par les autorités du pays tiers concerné, à des fins de sécurité publique, de défense et de sûreté de l’État (17).
43. Or, en l’espèce, comme souligné par le gouvernement autrichien, l’article 1er, paragraphe 1, de l’ADBG dispose que, « du fait qu’il influence les aptitudes sportives, le dopage est contraire au principe d’équité en compétition sportive ainsi qu’à la véritable valeur intrinsèque du sport (l’esprit sportif) et présente de surcroît des risques pour la santé ».
44. Dès lors, on ne saurait soutenir que les publications de données à caractère personnel par NADA et l’ÖADR constituent un traitement de données dans le cadre d’une activité, en l’occurrence la lutte antidopage, qui serait relative à la sécurité nationale ou qui pourrait être rangée dans cette catégorie visée par l’article 2, paragraphe 2, sous a), du RGPD.
45. Il convient d’en conclure que l’exception fondée sur cette disposition du RGPD n’est pas applicable au traitement de données en cause en l’espèce.
46. Les arguments de NADA, fondés, d’une part, sur le fait que l’activité antidopage relève des États membres et, d’autre part, sur l’absence de caractère économique de cette activité, ne sont pas de nature à infirmer ce constat, comme je m’attacherai à le démontrer à présent.
L’activité « antidopage » n’échappe pas au RGPD…
– … même si elle relève des États membres
47. Premièrement, NADA soutient que la politique antidopage est un domaine qui, en vertu de la répartition des compétences prévue par le droit de l’Union, demeure du ressort des États membres, nonobstant la compétence d’appui prévue dans le domaine du sport par l’article 165 TFUE.
48. Toutefois, le fait que le traitement de données à caractère personnel ait lieu dans le cadre d’une activité relevant de la compétence des États membres n’est pas pertinent en soi pour exclure ce traitement du champ d’application du RGPD sur le fondement de son article 2, paragraphe 2, sous a), dès lors qu’il ne relève ni d’une activité qui vise à préserver la sécurité nationale ni d’une activité pouvant être rangée dans la même catégorie (18).
49. Exclure du champ d’application du RGPD un traitement effectué dans le cadre d’une activité au seul motif que cette activité serait de la compétence des États membres irait selon moi à l’encontre tant du texte que du contexte et des objectifs de ce règlement.
50. En effet, lorsque le texte de l’article 2, paragraphe 2, sous a), du RGPD évoque la notion d’« activité qui ne relève pas du champ d’application du droit de l’Union », il renvoie non pas à une logique de compétence, mais à une logique matérielle de définition du champ d’application par le législateur, dans le RGPD lui-même, investi en cela par l’article 16, paragraphe 2, TFUE. Cette disposition « constitue et délègue » à l’Union une compétence législative en matière de protection et de libre circulation des données à caractère personnel et définit à cet effet un champ d’application spécifique (19). En outre, dans le contexte particulier de la protection des données à caractère personnel, compte tenu notamment de la nature autonome des problématiques liées à leur traitement qui ont appelé une intervention législative propre et spécifique, la notion de « champ d’application du droit de l’Union » dépasse les hypothèses de « mise en œuvre du droit de l’Union » au sens de l’article 51 de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte ») (20). Enfin, « dans bien des domaines relevant de la compétence des États membres, le droit de l’Union ne reste pas sans incidence » (21). C’est particulièrement vrai du RGPD, dont le champ d’application, transversal, est nécessairement large compte tenu de ses objectifs, rappelés au point 39 des présentes conclusions.
51. Ainsi, quand bien même l’activité « antidopage » n’est pas réglementée par un acte du droit de l’Union et relève des États membres, il ne saurait en être déduit que le traitement effectué dans le cadre de cette activité antidopage ne relève pas du « champ d’application du droit de l’Union », au sens de l’article 2, paragraphe 2, sous a), du RGPD, tel qu’interprété par la Cour dans le contexte spécifique du RGPD.
52. Au demeurant, le sport est, depuis le traité de Lisbonne, une compétence d’appui de l’Union (22). L’article 165, paragraphe 2, TFUE prévoit ainsi que « [l]’action de l’Union vise [...] à développer la dimension européenne du sport, en promouvant l’équité et l’ouverture dans les compétitions sportives et la coopération entre les organismes responsables du sport, ainsi qu’en protégeant l’intégrité physique et morale des sportifs, notamment des plus jeunes d’entre eux ». Ces termes renvoient notamment aux politiques en matière d’antidopage. Certes, une telle compétence d’appui n’octroie aucune compétence à l’Union pour légiférer en matière de sport. Cependant, même si l’activité de l’Union n’est pas normative, elle existe et permet à celle-ci d’adopter des actes juridiques dans le but d’appuyer, de coordonner ou de compléter l’action des États membres, conformément à l’article 6 TFUE (23). Dès lors, le caractère « sportif » des règles antidopage ne permet pas de considérer que leur mise en œuvre constitue une activité qui échapperait au champ d’application du droit de l’Union au sens de l’article 2, paragraphe 2, sous a), du RGPD.
– … et malgré son « absence » de caractère économique
53. Deuxièmement, NADA soutient que la pratique du sport ne relève du droit de l’Union que dans la mesure où elle constitue une activité économique. Les règles antidopage en cause seraient, quant à elles, fondées sur des considérations purement sportives, de sorte que le traitement des données en cause en l’espèce ne constituerait pas une question relevant de l’activité économique et ne relèverait donc pas du champ d’application du droit de l’Union.
54. Cet argument, tiré d’une prétendue « détachabilité » des règles antidopage, ne me convainc pas davantage.
55. En effet, l’affirmation selon laquelle l’« exercice des sports ne relève du droit communautaire que dans la mesure où il constitue une activité économique au sens de l’article 2 du traité [CE] » nous ramène à l’arrêt du 12 décembre 1974, Walrave et Koch (24). Or, depuis lors, l’Union a exercé sa compétence en matière de protection des données sur le fondement de l’article 16 TFUE. Les États membres ont ainsi entendu appliquer le droit de l’Union de la protection des données à caractère personnel y compris dans des domaines non économiques, comme en attestent à la fois le texte, le contexte et les objectifs du RGPD.
56. Tout d’abord, le texte de l’article 2, paragraphe 2, sous a), du RGPD détermine le champ d’application matériel de ce règlement en se référant à la notion d’« activité » et non d’« activité économique » relevant ou non du droit de l’Union.
57. Ensuite, le contexte du RGPD, et en particulier ses dispositions en matière de transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales (chapitre V du RGPD), confirme cette approche textuelle. En effet, si les conditions ne sont pas remplies pour qu’un tel transfert ait lieu, des dérogations en cas de situations particulières, prévues à l’article 49 du RGPD, peuvent néanmoins autoriser un tel transfert. Or, le considérant 112 du RGPD mentionne expressément que les dérogations pour ces situations particulières « devraient s’appliquer en particulier aux transferts de données requis et nécessaires pour des motifs importants d’intérêt public, par exemple en cas d’échange international de données [...] en vue de réduire et/ou d’éliminer le dopage dans le sport ». Comme l’a souligné le gouvernement finlandais, ce considérant indique que le législateur de l’Union n’a pas considéré que le traitement des données à caractère personnel en matière de contrôle antidopage, quoique portant sur une activité non économique, se trouvait en dehors du champ d’application de ce règlement.
58. Enfin, le critère fondé sur un lien de rattachement au droit de l’Union par une activité économique ne me semble pas davantage pertinent au regard des objectifs visés par le RGPD. En effet, un tel critère aboutirait à devoir déterminer le champ d’application du RGPD au cas par cas, selon que le traitement des données en cause présenterait ou non un lien avec des dispositions particulières du droit de l’Union ou avec les libertés régissant le marché intérieur. Une telle approche, variable selon les situations concrètes en cause, risquerait de rendre les limites du domaine d’application de ce règlement incertaines et aléatoires (25), en violation des objectifs essentiels de celui-ci, à savoir assurer une application cohérente et homogène des règles de protection dans l’ensemble de l’Union et lever les obstacles aux flux de données à caractère personnel au sein de celle‑ci.
59. Au demeurant, j’ajouterais que, à tout le moins pour les athlètes professionnels, l’on ne peut exclure un lien entre la réglementation antidopage et leur activité professionnelle et donc un lien de rattachement économique avec notamment les libertés de circulation et de libre prestation de services (26). En effet, les sanctions encourues sont de nature à entraîner des conséquences économiques non négligeables du fait de leur suspension, parfois à vie. Si, pour déterminer le champ d’application du RGPD, l’on devait faire appel à l’existence d’un tel lien de rattachement économique, on parviendrait au résultat pour le moins peu satisfaisant au terme duquel le RGPD pourrait, par exemple, s’appliquer aux athlètes professionnels, mais non aux sportifs amateurs (27). Une telle différence de traitement selon que l’activité est considérée comme économique ou non se concilie mal avec le RGPD et ses objectifs de protection à l’égard des données à caractère personnel.
Conclusion sur la première question
60. Eu égard à tout ce qui précède, je propose à la Cour de répondre à la première question que l’article 16, paragraphe 2, première phrase, TFUE et l’article 2, paragraphe 2, sous a), du RGPD doivent être interprétés en ce sens que les traitements des données à caractère personnel consistant, en application des règles nationales antidopage, en la publication des noms des sportifs concernés, de la discipline sportive pratiquée, de la violation des règles antidopage commise, de la sanction prononcée ainsi que du début et de la fin de cette sanction ne sauraient être considérés comme effectués dans le cadre d’une « activité qui ne relève pas du champ d’application du droit de l’Union », au sens de l’article 2, paragraphe 2, sous a), du RGPD.
Sur la deuxième question
61. Par sa deuxième question, la juridiction de renvoi demande si la publication des données à caractère personnel en cause porte sur des « données concernant la santé » au sens de l’article 9 du RGPD.
Sur l’interprétation large de la notion de « données concernant la santé »
62. L’enjeu de cette question réside dans le fait que l’article 9 du RGPD prévoit un régime juridique particulièrement protecteur des catégories de données à caractère personnel dites « sensibles », dont font partie les « données concernant la santé » (ou « données de santé »). Ces données, considérées comme étant au cœur de l’intimité des personnes, nécessitent comme telles un haut niveau de protection, à la fois grâce à la protection de la vie privée, au secret professionnel et à la législation relative à la protection des données personnelles (28). Leur traitement est, dès lors, interdit par l’article 9, paragraphe 1, du RGPD, sauf application d’une des dérogations prévues à son paragraphe 2. C’est ce que reflète le considérant 51 du RGPD, concernant les données sensibles, selon lequel cette protection spécifique s’explique « car le contexte dans lequel elles sont traitées pourrait engendrer des risques importants pour ces libertés et droits ». En vertu du considérant 54 du RGPD, il s’agit d’éviter, si elles font l’objet d’un traitement pour des motifs d’intérêt public, qu’elles soient traitées « à d’autres fins par des tiers, tels que des employeurs ou les compagnies d’assurance et les banques » (29). L’impératif de protection des données s’est d’ailleurs accru avec l’informatisation des structures de santé et la dématérialisation des supports et des flux de données (30).
63. Ajoutons que l’interdiction du traitement de données de santé, prévue à l’article 9, paragraphe 1, du RGPD, est indépendante du point de savoir si l’information révélée par le traitement de données est exacte ou non ou si le responsable du traitement agit dans le but d’obtenir des informations relevant d’une des catégories particulières visées à cette disposition (31). Il convient d’en déduire que l’objectif du responsable du traitement, et en particulier le fait que le traitement soit nécessaire en vertu d’une obligation légale ou d’un intérêt public, s’il constitue un élément pertinent dans le cadre de l’application éventuelle de l’une des dix dérogations prévues à l’article 9, paragraphe 2, du RGPD, n’est pas un élément devant être pris en compte au stade de la qualification de « donnée de santé » (32).
64. Conformément à l’article 4, point 15, du RGPD, lu conjointement avec le considérant 35 de ce règlement, de telles données comprennent l’ensemble des données à caractère personnel relatives à la santé physique ou mentale d’une personne physique, qui révèlent (33) des informations sur son état de santé passé, présent ou futur.
65. La Cour a déjà jugé que, au vu de l’objectif du RGPD, la notion de « données concernant la santé » visée à l’article 9, paragraphe 1, de ce règlement doit être interprétée de manière large (34). En vertu de l’interprétation contextuelle et téléologique de l’article 4, point 15, et de l’article 9 du RGPD, pour être qualifiées comme telles, il suffit que les données en cause soient, même de manière indirecte, susceptibles de dévoiler, par une opération intellectuelle de rapprochement ou de déduction, des informations sur l’état de santé de la personne concernée (35).
66. Dans ce contexte, j’ai l’impression que l’on pourrait distinguer schématiquement deux catégories de données de santé.
67. D’une part, les données générées dans le cadre médical me semblent pouvoir être considérées comme des données de santé « par nature » (36), « objectives » (37), qui visent, comme exposé au considérant 35 du RGPD, une information concernant, par exemple, une maladie physique ou mentale, un handicap, un risque de maladie, des antécédents médicaux, un traitement clinique. Elles figurent généralement dans le dossier médical de la personne concernée (38). De même, des données qui, bien que non médicales, sont collectées pour être inclues dans le dossier médical, comme c’est le cas des données administratives destinées à figurer dans ce dossier, sont à ce titre visées par le considérant 35 du RGPD comme « données de santé ». En cela, il s’agit de données considérées comme relatives à la santé et qui révèlent des informations sur l’état de santé de la personne concernée.
68. Dans ce cadre, la notion de « risque de maladie », mentionnée au considérant 35 du RGPD, revêt assurément une certaine importance. Comme il ressort des travaux du groupe de travail « Article 29 », il s’agit ici y compris des données relatives au statut sanitaire potentiel futur d’une personne concernée. Le risque futur de maladie « scientifiquement prouvé ou communément perçu » est ainsi pris en compte et sont citées en exemples la consommation excessive d’alcool ou de tabac ainsi que la consommation de drogue (39).
69. D’autre part, hors contexte médical, une donnée peut concerner la santé, en particulier si la donnée en cause est de nature, même indirectement, à révéler des informations sur l’état de santé physique ou mental passé, présent ou futur d’une personne physique (40). C’est la « zone grise » (41) de la notion de « donnée de santé », qui pose la question de savoir jusqu’à quel point son lien indirect avec la santé peut conduire à la qualifier comme telle. L’élément déterminant est ici de savoir s’il est possible, à partir des données en cause, de tirer des conclusions sur l’état de santé de la personne concernée, qu’il s’agisse d’un état pathologique ou physiologique, indépendamment de la fiabilité de ces conclusions. Des éléments de contexte peuvent à cet égard être pris en compte (42), de même que le lien entre l’information en cause et la capacité d’en déduire un aspect de la santé d’une personne (43).
70. Par exemple, le groupe de travail « Article 29 » a considéré comme une donnée de santé l’information concernant l’appartenance d’une personne à des groupes ayant un objectif lié à la santé tels que « Weight Watchers » ou les « Alcooliques anonymes » (44). En outre, une donnée brute issue d’une « mesure de soi » (par exemple le poids ou la pression artérielle enregistrée par une montre connectée) qui ne serait pas en soi une donnée de santé pourrait, combinée à d’autres informations, permettre de tirer des conclusions sur la santé de la personne concernée. Le groupe de travail « Article 29 » précise à cet égard qu’il convient d’effectuer une appréciation au cas par cas : une application qui suit et stocke le nombre de pas effectués pendant quelques jours et supprime ces données après une semaine peut ne pas traiter de « données de santé ». Cependant, une application combinant plusieurs années d’enregistrements quantifiés complets d’un individu (suivi, par exemple, des habitudes de sommeil et d’exercice, registres détaillés de l’alimentation, du poids, de l’indice de masse corporelle, de la pression artérielle et d’autres statistiques vitales, ainsi qu’un agenda d’humeur) est considérée comme traitant des données concernant la santé. Dans ce cas, non seulement les conclusions et les déductions, mais également les données brutes, seront considérées comme des données de santé (45).
Application en l’espèce
71. Dans le litige au principal, la réglementation en cause prévoit que, outre l’indication du nom des sportifs concernés et de la durée de leur suspension, sont divulgués les motifs de cette suspension par le renvoi à la catégorie d’infraction(s) constatée(s). Lorsque l’infraction porte sur une substance ou une méthode interdite, celle-ci est également indiquée dans le communiqué publié sur le site Internet de l’ÖADR (46).
72. Tout d’abord, il y a lieu de rappeler que les infractions aux règles antidopage qui sont divulguées au public sont divisées en plusieurs catégories (47).
73. Je suis d’avis, à l’instar de l’autorité autrichienne de protection des données, que seules les infractions prévues aux catégories 2.1 et 2.2 doivent être examinées au regard de la notion de « données de santé ». En effet, les autres infractions visent des comportements infractionnels qui ne me paraissent pas susceptibles en tant que tels de dévoiler, même indirectement, des informations sur l’état de santé de la personne concernée. Par exemple, l’information selon laquelle un sportif a manqué à son obligation de localisation (infraction de catégorie 2.4) ou a fait du trafic de substances interdites (infraction de catégorie 2.7) ne révèle aucune information sur son état de santé.
74. Ensuite, il y a lieu de relever que le constat des infractions de catégories 2.1 et 2.2 implique des tests antidopage sur le sportif concerné et l’analyse d’échantillons afin d’y détecter les substances et méthodes interdites. J’ajoute que ces analyses sont effectuées par des professionnels accrédités (48) et donc dans un contexte quasi médical, voire médical. Le constat de telles infractions nous renvoie donc à la notion d’« information obtenue lors du test ou de l’examen d’une partie du corps ou d’une substance corporelle » au sens du considérant 35 du RGPD. De telles informations pourraient, dès lors, être considérées comme des données de santé par nature.
75. À cet égard, certes, le test est effectué en vue de la détection de substances dopantes prises pour améliorer des performances sportives, et le traitement consistant en la divulgation des informations en cause répond à un objectif répressif à l’égard du sportif concerné et dissuasif. Toutefois, rappelons que l’objectif visé n’est pas pertinent au regard de la qualification des données en cause (49).
76. De même, le fait que les substances dopantes ne sont pas des médicaments ne me semble pas convaincant. En effet, d’une part, la notion de « données de santé » n’inclut pas uniquement les données médicales à visée thérapeutique. Au demeurant, certains médicaments sont néfastes pour la santé s’ils sont mal utilisés. D’autre part, la lutte antidopage vise certes à promouvoir l’équité et l’égalité des sportifs, mais elle constitue également une préoccupation de santé (50). Or, nombre de substances ou méthodes sont interdites notamment en raison de leurs effets néfastes sur la santé, même si cet effet est variable selon le produit, la quantité absorbée ou la constitution de la personne concernée (51).
77. Dès lors, pour qualifier la donnée en cause, indépendamment du fait que l’objectif recherché par le sportif consiste en l’amélioration de sa performance, on ne saurait, à mon sens, faire abstraction des effets de l’absorption d’une substance interdite sur la santé de ce sportif, que ces effets soient présents ou futurs.
78. Enfin, il me semble que le fait que le nom de la substance interdite détectée dans l’organisme soit publié en ligne par l’ÖADR est de nature à renseigner le public sur les risques que son absorption peut entraîner pour la santé du sportif en cause.
79. Certes, la seule mention du nom de la substance interdite, présente dans l’organisme, pourrait être considérée comme insuffisante en soi pour révéler des informations sur l’état de santé, même futur, du sportif concerné. Le contenu même de l’information pourrait, à cet égard, être considéré comme trop succinct, et le lien avec l’état de santé trop indirect, voire trop hypothétique, pour constituer une « donnée de santé » au sens du RGPD. Toutefois, on ne saurait exclure que, combinée à d’autres éléments, cette information puisse, même de manière indirecte, être de nature à révéler, par une opération intellectuelle de rapprochement ou de déduction, des informations sur l’état de santé même futur de la personne concernée.
80. Dès lors, je suis d’avis que la mention du nom de la substance en cause (ou sa catégorie) donne des indications qui, même peu détaillées, sont de nature à renseigner, quoique de manière indirecte, sur l’état de santé de la personne concernée. Dans le contexte spécifique du RGPD, une telle mention constitue, dans certaines circonstances qu’il incombe à la juridiction de renvoi de vérifier, une « donnée concernant la santé » au sens de l’article 4, point 15, et de l’article 9, paragraphe 1, du RGPD, lus en combinaison avec le considérant 35 de ce règlement.
81. En revanche, j’estime que tel ne serait pas le cas si la substance interdite en cause (ou sa catégorie) n’était pas mentionnée. En effet, dans ce cas, le lien entre le constat d’une infraction en raison de la présence d’une substance interdite dans l’organisme, d’une part, et les informations sur l’état de santé de la personne concernée, d’autre part, serait impossible à faire, même par une « opération intellectuelle de rapprochement ou de déduction ». Ce lien serait alors, selon moi, trop indirect pour que l’information divulguée puisse entrer dans la catégorie de « données concernant la santé » du RGPD.
Conclusion sur la deuxième question
82. Je propose donc à la Cour de dire pour droit que l’article 9, paragraphe 1, du RGPD doit être interprété en ce sens que ne constitue pas un traitement d’une donnée concernant la santé, au sens de cette disposition, le fait de divulguer le nom du sportif concerné, la durée de sa suspension et les motifs de cette suspension, sauf si ces motifs incluent le nom de la ou des substance(s) interdite(s) dont la présence a été détectée dans l’organisme du sportif en cause, dès lors que cette indication est de nature à révéler, même indirectement, des informations sur l’état de santé, même futur, du sportif concerné, ce qu’il appartient à la juridiction de renvoi de vérifier.
Sur la cinquième question
83. La juridiction de renvoi demande, en substance, si la publication en cause constitue un traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions au sens de l’article 10 du RGPD. Elle précise à cet égard que les sanctions dans le litige au principal comprennent le retrait des titres et des récompenses, ainsi qu’une suspension de plusieurs années ou une interdiction à vie de toutes les compétitions (nationales et internationales). Elle indique en outre que, en vertu de l’article 24, paragraphe 4, de l’ADBG, les organisations sportives ne peuvent pas « avoir recours » à des personnes visées par une suspension en vertu de la législation antidopage et ne peuvent donc pas les employer contre rémunération.
84. Avant d’analyser la nature des condamnations et infractions antidopage en cause, je rappellerai l’enjeu d’une qualification pénale dans le contexte de l’article 10 du RGPD.
Enjeu de la nature « pénale » des condamnations et infractions au sens de l’article 10 du RGPD
85. Il y a lieu de rappeler que le législateur de l’Union n’interdit pas le traitement des données à caractère personnel relatives aux condamnations pénales et infractions, mais le soumet à un contrôle renforcé, dans la mesure où il peut avoir une incidence significative sur la vie des personnes concernées, notamment en matière d’atteinte à la réputation ou de discrimination dans d’autres domaines. Un tel traitement ne peut ainsi avoir lieu que « sous le contrôle de l’autorité publique » ou si la législation autorisant ce traitement de données prévoit des « garanties appropriées pour les droits et les libertés des personnes concernées » (52). L’article 10 du RGPD réserve cette protection accrue au seul domaine pénal, étant entendu que le terme « pénal » désigne à la fois les « condamnations » et les « infractions » (53).
86. Sont ainsi susceptibles de relever de l’article 10 du RGPD la tenue de registres des condamnations pénales et infractions par des organismes privés (54), par exemple dans le cadre de la lutte contre le blanchiment d’argent ou dans le cadre des activités des laboratoires de police scientifique (55). On peut également citer l’exemple des traitements de données à caractère personnel par des organismes loueurs de véhicules qui identifient et désignent un conducteur qui aurait enfreint le code de la route.
87. En l’espèce, la question est donc de savoir si le « casier sportif », mis en ligne par NADA et l’ÖADR, constitue un « registre » de condamnations pénales et infractions tombant dans le champ d’application de l’article 10 du RGPD et impliquant donc une protection renforcée.
Analyse de la nature « pénale » ou non, au sens de l’article 10 du RGPD, des condamnations et infractions antidopage
88. Selon la jurisprudence de la Cour, la notion d’« infraction pénale », décisive pour déterminer l’applicabilité de l’article 10 du RGPD à des traitements de données à caractère personnel, requiert, dans toute l’Union, une interprétation autonome et uniforme, qui doit être recherchée en tenant compte de l’objectif poursuivi par cette disposition et du contexte dans lequel celle-ci s’insère, sans que soit déterminante à cet égard la qualification donnée par l’État membre concerné à ces infractions, cette qualification pouvant être différente d’un pays à l’autre.
89. Les trois « critères Engel », adoptés par la Cour (56), à savoir la qualification juridique de l’infraction en droit interne, la nature même de l’infraction et le degré de sévérité de la sanction que risque de subir l’intéressé, sont ainsi pertinents pour apprécier le caractère pénal d’une infraction.
90. S’il appartient à la juridiction de renvoi d’apprécier, à la lumière de ces critères, si les condamnations et infractions en cause au principal présentent une nature pénale au sens de l’article 10 du RGPD, la Cour, statuant sur renvoi préjudiciel, peut toutefois apporter des précisions, visant à guider cette juridiction dans son appréciation (57).
91. J’examinerai donc les infractions et condamnations en cause au regard de ces trois critères.
– Qualification juridique de l’infraction en droit interne
92. Il ressort de la demande de renvoi préjudiciel que, en droit autrichien, l’ÖADR mène des procédures disciplinaires pour la fédération sportive compétente. De même, le gouvernement autrichien a souligné, lors de l’audience, que la réglementation antidopage revêt un caractère sui generis dans la mesure où les infractions antidopage sont des violations des règles des fédérations sportives concernées, que les athlètes s’engagent à respecter (58), et non des violations de la loi.
93. La qualification des infractions antidopage en droit national ne va donc pas dans le sens d’une qualification « pénale » au sens de l’article 10 du RGPD.
94. Cela étant, la portée de ce premier critère Engel doit être relativisée, dès lors que même pour des infractions qui ne sont pas qualifiées de « pénales » par le droit national, un tel caractère peut néanmoins découler de la nature même de l’infraction en question et du degré de sévérité des sanctions que celle-ci est susceptible d’entraîner (59). Ceci vaut en particulier en matière de réglementation antidopage, puisque le système trans-étatique mis en place fait intervenir différents acteurs, internationaux et nationaux (60), et que les États membres ont intégré le CMA de différentes façons dans leurs systèmes juridiques respectifs. La mise en œuvre de la réglementation antidopage est donc nécessairement diversifiée selon les États, en fonction des différents modèles d’organisations étatiques, même s’il semble que, dans la plupart des États membres, les ONAD n’ont pas de compétences pénales à cet égard (61).
95. Il convient donc d’examiner les deux autres critères Engel.
– Nature de l’infraction
96. Ce deuxième critère commande de vérifier si la sanction correspondant à l’infraction en cause poursuit, notamment, une finalité répressive, sans que la seule circonstance qu’elle poursuit également une finalité préventive soit de nature à lui ôter sa qualification de « sanction pénale ». En effet, il est dans la nature même des sanctions pénales qu’elles tendent tant à la répression qu’à la prévention de comportements illicites. En revanche, une mesure qui se limite à réparer le préjudice causé par l’infraction concernée ne présente pas une nature pénale (62).
97. Il ressort de la demande de décision préjudicielle que deux catégories de sanctions correspondent aux infractions antidopage.
98. Il s’agit, d’une part, du retrait des titres et des récompenses, qui consiste à récupérer les gains afin de les réaffecter aux sportifs qui y auraient eu droit si le sportif sanctionné n’avait pas pris part à la compétition. Une telle sanction semble répondre à la violation de la « règle du jeu » (la « lex sportiva ») et peut être considérée comme visant essentiellement à rétablir la loyauté des compétitions (63), même si cela n’enlève rien à son caractère punitif pour le sportif concerné.
99. Il s’agit, d’autre part, de la suspension de la participation aux compétitions sportives, qui peut être de quelques mois ou de plusieurs années, voire aller, comme c’est le cas d’un des requérants au principal, jusqu’à l’interdiction à vie de toutes les compétitions. Cette suspension peut certes être vue comme le souhait de « mettre au ban » l’athlète fautif afin de l’éloigner ou de l’exclure de la communauté des sportifs et, ce faisant, de préserver l’intégrité de cette communauté. Cependant, elle est également destinée à sanctionner le sportif ayant enfreint les règles antidopage qu’il s’était engagé à respecter, de même qu’à dissuader les autres sportifs d’en faire autant.
100. La finalité première de ces sanctions antidopage, à tout le moins de la suspension des compétitions, n’apparaît donc pas comme étant de réparer le préjudice subi par des tiers du fait de l’infraction, mais bien de sanctionner le comportement du sportif concerné, ce qui va dans le sens d’une condamnation pénale (64). À cet égard, la réglementation antidopage, même si elle n’est pas un corpus de droit pénal, a une vocation répressive (65).
101. Cependant, la qualification « pénale » au titre de ce deuxième critère Engel pourrait susciter des hésitations de deux ordres.
102. Une première hésitation découle du constat que les procédures disciplinaires ont plutôt été appréhendées sous le volet civil de l’article 6 de la CEDH par la Cour de Strasbourg (66), sauf, par exemple, lorsqu’une privation de liberté est encourue et que la sanction revêt un degré de sévérité suffisamment élevé (67).
103. En particulier, la Cour de Strasbourg considère que l’article 6 de la CEDH est applicable dans son volet civil aux « contestations relatives au retrait du droit d’exercer une profession » (68), y compris dans le domaine sportif (69).
104. La nature pénale d’une interdiction d’exercer une profession ne va donc pas de soi, tant s’en faut.
105. Toutefois, il me semble que l’on ne saurait en déduire, ipso facto et de façon absolue, qu’une sanction disciplinaire aboutissant à la suspension des compétitions sportives ne pourrait jamais ressortir à la matière pénale.
106. En effet, une telle approche apparaîtrait comme purement formelle.
107. En outre, rappelons que les deux volets, civil et pénal, de l’article 6 de la CEDH ne s’excluent pas nécessairement (70).
108. Enfin, il convient de garder à l’esprit que la Cour de Strasbourg procède à l’examen de la nature pénale ou civile de l’infraction en cause au regard des griefs soulevés devant elle et aux fins d’apprécier si les garanties du procès équitable prévues à l’article 6 de la CEDH s’appliquent dans leur volet civil (paragraphe 1) ou pénal (paragraphes 1 à 3).
109. En revanche, dans le contexte de l’article 10 du RGPD, il s’agit d’évaluer si la condamnation ou l’infraction est pénale aux fins de déterminer si le traitement en cause (ici la publication) vise une information méritant une protection renforcée impliquant le contrôle d’une autorité publique. À ceci s’ajoute que rien n’interdit d’adopter une interprétation plus large garantissant une protection renforcée des droits et libertés en question (71). C’est dans ce contexte de l’article 10 du RGPD qu’il incombe donc à la juridiction de renvoi d’apprécier si les critères Engel, et en particulier le deuxième critère relatif à la nature de l’infraction, sont ou non remplis.
110. Une seconde hésitation provient du fait que les infractions et condamnations antidopage ne visent qu’un groupe particulier de personnes, à savoir les sportifs, à l’instar des sanctions disciplinaires qui ont en général pour but d’assurer le respect, par ses membres, de règles de comportement, propres au groupe en question (72). De telles dispositions sont destinées à protéger l’honneur et la réputation de la profession et à maintenir la confiance du public dans cette profession (73).
111. Certes, un tel constat permettrait de qualifier l’infraction de « disciplinaire » au sens où elle s’applique à un certain nombre de personnes visées par un corps de règles spécifiques. En cela, la présente affaire se distingue de l’affaire ayant donné lieu à l’arrêt Latvijas Republikas Saeima, dans laquelle l’attribution des points de pénalité pour des infractions routières reposait sur un texte d’application générale (74).
112. Toutefois, la qualification d’« infraction pénale » au sens de l’article 10 du RGPD n’est pas pour autant exclue. En effet, si la portée moins large, propre aux réglementations disciplinaires, suffisait pour empêcher la qualification « pénale » de l’infraction, on serait, là encore, renvoyés à une approche purement formelle de la notion. Une telle approche se concilie mal avec la jurisprudence qui impose à cet égard de rechercher la finalité répressive ou préventive de la sanction pour définir la nature de l’infraction, par opposition à un objectif purement réparateur.
113. Or, en l’occurrence, comme précédemment évoqué (75), les condamnations antidopage n’ont pas pour objet de réparer des préjudices éventuellement causés par les infractions en question (ou pas uniquement si l’on considère le préjudice causé à la communauté des sportifs), mais poursuivent, au contraire, une finalité répressive qui est de nature à leur conférer une qualification de condamnation « pénale » au sens de l’interprétation de ce deuxième critère par la jurisprudence, indépendamment du caractère général ou non du texte applicable. Je relève d’ailleurs que le Tribunal arbitral du sport (Suisse), institution internationale proposant un arbitrage ou une médiation dans le monde du sport, lui-même reconnaît, lorsqu’il y a lieu, la nature « quasi pénale » des sanctions antidopage (76).
114. Au surplus, certaines infractions antidopage, comme le trafic de substances interdites, peuvent donner lieu à des sanctions relevant à la fois de la réglementation antidopage et de la réglementation pénale nationale. Certes, la Cour de Strasbourg a estimé que le fait que des actes susceptibles de conduire à une sanction disciplinaire constituent également des infractions pénales n’est pas suffisant pour considérer qu’une personne responsable selon le droit disciplinaire est « accusée » d’une infraction pénale (77). Il me semble cependant que cela pourrait constituer un élément à prendre en compte dans le cadre du deuxième critère Engel.
115. Dès lors, en dépit des réserves exprimées, j’estime à ce stade qu’il ne saurait être exclu que, au vu de leur nature répressive ou préventive, certaines infractions antidopage puissent être considérées comme étant de nature pénale au sens de l’article 10 du RGPD.
– Degré de sévérité de la sanction
116. Ce troisième critère Engel doit être apprécié en fonction de la peine maximale encourue, prévue par les dispositions pertinentes (78).
117. Or, ce degré de sévérité varie en fonction de l’infraction antidopage commise. Par exemple, la durée de la suspension encourue varie selon les infractions antidopage en cause. De même, la récidive et l’intention de l’auteur peuvent également jouer un rôle à cet égard (79).
118. Il ressort de la demande de renvoi préjudiciel que, en l’occurrence, il peut s’agir « d’une suspension de plusieurs années ou d’une interdiction à vie de toutes les compétitions (nationales et internationales) », ce qui peut donc aboutir à une interdiction définitive d’exercer la profession de sportif.
119. Il ne s’agit certes pas d’une peine privative de liberté. Cependant, cela n’est pas déterminant, car « la faiblesse de l’enjeu ne saurait ôter à une infraction son caractère pénal intrinsèque » (80). En outre, la carrière de sportif professionnel de la personne concernée est susceptible, selon la durée de la suspension, de prendre fin, notamment compte tenu de l’âge des personnes concernées et du constat que la carrière est, dans certains sports en particulier, relativement courte.
120. À cette suspension, possiblement « à vie », s’ajoute l’impossibilité en pratique de retrouver un emploi dans le domaine sportif, compte tenu de l’interdiction d’association avec une personne suspendue pendant toute la durée de sa suspension.
121. Aux conséquences économiques et financières pour la personne concernée, s’ajoutent enfin une désapprobation de la société et une stigmatisation tant dans la sphère publique que dans la sphère privée.
122. Il en résulte, à mon avis, qu’une telle sanction revêt une gravité susceptible d’avoir un effet équivalant à une condamnation pénale au sens de l’article 10 du RGPD, ce qu’il incombe toutefois à la juridiction de renvoi d’apprécier dans chaque cas particulier.
123. En conséquence, je suis d’avis que, en principe, les infractions et condamnations antidopage devraient être considérées comme relevant du domaine disciplinaire, sauf dans les cas où la condamnation est d’une sévérité telle qu’elle ressortit à la matière pénale. Une telle appréciation, qui ne saurait être remise en cause par la seule qualification en droit interne, s’inscrit par ailleurs dans le cadre de l’objectif répressif et préventif de la condamnation qui confère une nature pénale à l’infraction commise. Dans ce contexte, une suspension à vie de participer à toute compétition pourrait donc, à mon sens, constituer une sanction ayant un effet équivalant à une sanction pénale, de nature à déclencher l’applicabilité de l’article 10 du RGPD.
124. Enfin, j’ajoute que l’argument de NADA, mettant en garde contre les implications, pour l’ensemble des ordres professionnels, qu’entraînerait l’application de l’article 10 du RGPD aux traitements de données relatives à des infractions et condamnations disciplinaires, ne me convainc pas. En effet, il n’est pas question ici de « criminaliser » de façon générale et abstraite toutes les infractions et condamnations disciplinaires. L’analyse qui précède a montré que l’appréciation doit s’effectuer en fonction des circonstances de chaque cas d’espèce et en vue de l’interprétation de l’article 10 du RGPD qui, en présence d’un « registre » de condamnations et d’infractions tombant dans son champ d’application, impose une protection renforcée. Au demeurant, la base légale des traitements de données relatives à de telles infractions et condamnations qualifiées de « pénales » peut également résider dans la législation, de l’Union ou des États membres, prévoyant les « garanties appropriées ».
Conclusion sur la cinquième question
125. J’estime qu’il convient de répondre à la cinquième question que l’article 10 du RGPD doit être interprété en ce sens qu’il est susceptible de s’appliquer aux traitements de données à caractère personnel relatives aux condamnations ou infractions prévues par la réglementation nationale antidopage, dès lors que, indépendamment de la qualification de ces infractions en droit interne, les condamnations qu’elles impliquent poursuivent une finalité répressive et présentent un degré de sévérité tel qu’elles ont un effet équivalant à une sanction pénale, ce qu’il appartient à la juridiction de renvoi de vérifier.
Sur la sixième question
126. En cas de réponse affirmative à la cinquième question, la juridiction de renvoi demande si les activités ou les décisions d’une autorité, à laquelle le contrôle du traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes ont été confiées conformément à l’article 10 du RGPD, sont soumises à un contrôle juridictionnel.
127. Premièrement, précisons que l’autorité en cause est l’« autorité publique » au sens de l’article 10 du RGPD, qui ne saurait être confondue avec l’« autorité de contrôle », au sens de l’article 51 du RGPD (81). Rappelons également que le traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ne peut être effectué que sous le contrôle de l’autorité publique, ou si le traitement est autorisé par le droit de l’Union ou par le droit d’un État membre qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées (82). La réponse à cette question est donc à mettre en relation avec les réponses aux troisième et quatrième questions préjudicielles, examinées plus loin (83).
128. Deuxièmement, il convient de constater que le RGPD ne contient pas de définition de la notion d’« autorité publique » ou de « contrôle de l’autorité publique » au sens de l’article 10 de ce règlement. Il incombe à cet égard aux États membres de déterminer quel organisme exerce le contrôle d’« autorité publique » en cas de traitement de données à caractère personnel au sens de l’article 10 du RGPD. Comme l’indique la Commission, il n’est pas exclu que plusieurs services puissent être considérés comme tels et il ne s’agit pas nécessairement du « responsable du traitement ».
129. Troisièmement, il est vrai que la lettre de l’article 10 du RGPD ne prévoit pas en tant que tel un contrôle juridictionnel des activités ou décisions de cette « autorité publique ». Cela étant, l’interprétation contextuelle de cette disposition plaide en faveur d’un tel contrôle si les personnes concernées entendent faire valoir leurs droits. En effet, à l’instar de plusieurs parties intéressées, je suis d’avis que le contrôle des actes en matière de traitement des données à caractère personnel, y compris lorsque ce contrôle fait suite à une décision d’une autorité publique au sens de l’article 10 du RGPD, doit être conforme à l’article 79, paragraphe 1, du RGPD, même si la juridiction de renvoi n’y fait pas référence dans sa question. En vertu de cette disposition, sans préjudice de tout recours administratif ou extrajudiciaire, y compris le droit d’introduire une réclamation auprès d’une autorité de contrôle au titre de l’article 77 de ce règlement, chaque personne concernée a droit à un recours juridictionnel effectif si elle considère que les droits que lui confère ledit règlement ont été violés du fait d’un traitement de ses données à caractère personnel effectué en violation de ce même règlement. Au demeurant, comme le souligne le gouvernement finlandais, l’existence même d’un contrôle juridictionnel effectif destiné à assurer le respect du droit de l’Union est inhérente à un État de droit.
130. Quatrièmement, une telle interprétation est confirmée par l’objectif visé par l’article 10 du RGPD, à savoir assurer une protection accrue à l’encontre de traitements qui, en raison de la sensibilité particulière des données en cause, sont susceptibles de constituer une ingérence particulièrement grave dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel (84). Une interprétation de l’article 10 du RGPD qui exclurait, a priori et de façon générale, les activités ou décisions d’une autorité publique au sens de cette disposition de tout contrôle juridictionnel irait à l’encontre de ces finalités.
131. Dans ces conditions et en l’absence de davantage de précisions sur les activités ou décisions de l’autorité publique en cause, j’estime qu’il convient de répondre à la sixième question que l’article 10 du RGPD, lu à la lumière de l’article 79, paragraphe 1, de ce règlement, doit être interprété en ce sens que les activités ou décisions d’une autorité à laquelle le contrôle du traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes a été confié en vertu de cette disposition doivent pouvoir faire l’objet d’un contrôle juridictionnel.
Sur les troisième et quatrième questions
132. Dans le cadre de ces deux questions, qui peuvent être examinées conjointement, la juridiction de renvoi demande, en substance, premièrement, si l’article 5, paragraphe 1, sous a) et c), et l’article 6 paragraphe 3, deuxième alinéa, du RGPD peuvent être interprétés comme s’opposant à une obligation, imposée par la loi nationale aux organismes nationaux antidopage, de publier les données à caractère personnel concernées, à savoir en particulier le nom des sportifs sanctionnés pour violation de la réglementation antidopage, la durée de la suspension infligée et ses motifs.
133. Elle demande, deuxièmement, si le RGPD exige, avant la publication, une mise en balance au cas par cas des intérêts en présence par le responsable du traitement ou si le contrôle de proportionnalité prévu par le législateur est suffisant.
Sur la proportionnalité de la publication en cause
134. Le législateur national a prévu, dans l’ADBG, la publication de certaines données (nom du sportif, durée et motifs de la suspension), à titre gratuit (85), à l’attention de l’organisation fédérale du sport, des organisations sportives, des sportifs, des autres personnes (personnel d’encadrement), des organisateurs de compétitions, ainsi que du grand public, sans qu’il soit possible de remonter à des données de santé. Il est également prévu que les informations à publier ne peuvent être omises à l’intention du grand public que si la personne concernée est un sportif amateur, particulièrement vulnérable (personne mineure) ou une personne ayant contribué de manière significative à la détection de violations potentielles des règles antidopage en communiquant des informations ou d’autres indications. Sauf erreur de ma part, dans ce cas, ni la mention de la substance interdite éventuellement en cause ni la publication par mise en ligne sur Internet ne sont explicitement prévues par l’ADBG.
135. En pratique, NADA et l’ÖADR ont mis en œuvre cette législation par l’intermédiaire d’une publication par Internet pour les sportifs professionnels, avec mention de la substance interdite éventuellement en cause en ce qui concerne la publication par l’ÖADR.
– Observations liminaires et rappel des principes
136. Rappelons que l’objectif poursuivi par le RGPD, tel qu’il ressort de son article 1er ainsi que de ses considérants 1 et 10, consiste, notamment, à garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques, en particulier de leur droit à la vie privée à l’égard du traitement des données à caractère personnel, consacré à l’article 8, paragraphe 1, de la Charte et à l’article 16, paragraphe 1, TFUE et étroitement lié au droit au respect de la vie privée, consacré à l’article 7 de la Charte.
137. À cet égard, les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, garantis aux articles 7 et 8 de la Charte, ne sont pas des prérogatives absolues. Des limitations peuvent ainsi être apportées, pourvu que, conformément à l’article 52, paragraphe 1, de la Charte, elles soient prévues par la loi et qu’elles respectent le contenu essentiel des droits fondamentaux ainsi que le principe de proportionnalité (86).
138. En l’occurrence, la publication des données à caractère personnel des sportifs concernés est effectuée sur le fondement d’une obligation légale imposée aux responsables du traitement par la loi nationale (87).
139. Partant, ce traitement de données peut être regardé comme relevant de l’hypothèse visée à l’article 6, paragraphe 1, sous c), du RGPD, qui prévoit qu’est licite le traitement qui est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis. Compte tenu de ce que la lutte antidopage pourrait être considérée comme l’exécution d’une mission d’intérêt public (88), le traitement en cause peut également relever de l’hypothèse visée à l’article 6, paragraphe 1, sous e), du RGPD. Il n’est toutefois pas nécessaire de décider laquelle de ces conditions de licéité est applicable en l’espèce ou si les deux s’appliquent (89).
140. L’article 6, paragraphe 3, du RGPD précise, à l’égard de ces deux hypothèses de licéité du traitement, visées à l’article 6, paragraphe 1, sous c) et e), du RGPD, que ledit traitement doit être fondé sur le droit de l’Union ou sur le droit de l’État membre auquel le responsable du traitement est soumis et que cette base juridique doit répondre à un objectif d’intérêt public et être proportionnée à l’objectif légitime poursuivi.
141. De même, tout traitement de données à caractère personnel doit notamment être conforme aux principes énoncés à l’article 5, paragraphe 1, du RGPD, et en particulier aux principes de licéité et de « minimisation des données », figurant respectivement aux points a) et c) de cette disposition. Selon le principe de minimisation, les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées, ce qui donne expression au principe de proportionnalité (90).
142. Les questions posées par la juridiction de renvoi impliquent donc de vérifier si la législation nationale, en tant que base légale du traitement en cause, satisfait aux exigences découlant de ces dispositions, à savoir qu’elle répond à un objectif d’intérêt public et est proportionnée à l’objectif légitime poursuivi.
143. En l’occurrence, dans le cadre de la lutte contre le dopage dans le sport, qui est assurément un objectif d’intérêt public, des sanctions sont adoptées en cas d’infractions aux règles antidopage. S’y ajoute la divulgation au grand public des données à caractère personnel en cause, laquelle poursuit deux objectifs, tout aussi légitimes, évoqués par les parties intéressées et par le gouvernement autrichien lors de l’audience. D’une part, il s’agit de dissuader les sportifs de commettre des violations des règles antidopage et ainsi de prévenir le dopage dans le sport. D’autre part, il s’agit d’éviter le contournement des règles antidopage en informant toutes les personnes susceptibles de parrainer ou d’engager le sportif en cause qu’il est suspendu (91).
144. Il y a donc lieu, pour la juridiction de renvoi, de vérifier si la réglementation nationale prévoyant le traitement en cause, telle que mise en œuvre par NADA et l’ÖADR, est apte à contribuer à la réalisation des objectifs d’intérêt général qu’elle poursuit, nécessaire et proportionnée à ces objectifs, la Cour étant compétente pour lui fournir les éléments d’interprétation utiles.
– Sur l’aptitude de la publication à atteindre les objectifs visés
145. Il me semble que la publication des données en cause peut être considérée sans trop de difficultés comme étant apte à atteindre les deux objectifs visés.
146. Premièrement, en effet, le fait de publier le nom du sportif sanctionné ainsi que les raisons et la durée de sa suspension informe le grand public que le dopage ne reste pas impuni et qu’il s’accompagne non seulement de sanctions, mais également d’une publication nominative de la sanction de suspension. Cela est de nature à inciter le public, et parmi eux les sportifs, professionnels ou amateurs, à s’abstenir d’enfreindre les règles antidopage et répond donc à l’objectif de dissuasion et de prévention.
147. Deuxièmement, la publication de cette suspension permet également d’informer les personnes qui pourraient souhaiter employer le sportif concerné à quelque titre que ce soit en rapport avec le sport qu’il est suspendu et n’est pas censé exercer de fonctions sportives. Ajoutons que le fait de s’associer à un sportif suspendu constitue également une violation de la réglementation antidopage (92). Une telle publication peut ainsi contribuer à éviter que de telles infractions soient commises par ignorance.
148. En revanche, je ne vois pas en quoi la mention de la substance interdite éventuellement en cause, non expressément prévue par la loi nationale, mais publiée par l’ÖADR, permet d’atteindre les objectifs visés. En effet, ni l’objectif de dissuasion ni celui d’éviter le contournement des règles antidopage ne nécessitent de détailler à ce point l’infraction constatée.
– Sur la nécessité de la publication au vu des objectifs visés
149. Conformément au considérant 39 du RGPD, vérifier la nécessité du traitement en cause au regard des objectifs visés implique de vérifier s’il n’existe pas des mesures alternatives qui soient moins attentatoires aux droits au respect de la vie privée et à la protection des données à caractère personnel garantis aux articles 7 et 8 de la Charte, mais tout aussi efficaces pour atteindre l’objectif invoqué (93).
150. Premièrement, concernant l’objectif de dissuasion, la divulgation au public du nom des sportifs concernés ne me semble pas absolument nécessaire dans tous les cas.
151. Certes, la dissuasion est d’autant plus efficace si, notamment dans le cas d’un sportif célèbre, les sanctions s’accompagnent de la divulgation de son nom. Une responsabilité particulière s’impose en la matière aux sportifs de haut niveau et jouissant d’une certaine notoriété, la divulgation de leur nom pouvant donc s’avérer d’autant plus pertinente au regard de l’objectif visé.
152. Cependant, pour les sportifs professionnels ne relevant pas des exceptions prévues par l’ADBG, la législation nationale prévoit une divulgation nominative automatique, dont la portée est rendue illimitée par la publication en ligne (94), et ce sans égard aux circonstances particulières liées aux circonstances individuelles (notoriété du sportif, niveau de compétition, récidive, caractère intentionnel, etc.). Dans cette mesure, je suis d’avis que, par leur caractère général, ces dispositions nationales sont susceptibles d’aller au-delà de ce qu’exige la prévention du dopage par la dissuasion.
153. Deuxièmement, concernant l’objectif visant à empêcher le contournement de l’interdiction de s’associer à une personne suspendue, il implique de savoir de quel sportif il s’agit. Cela rend donc nécessaire la divulgation du nom de la personne suspendue. À cet égard, il ressort de la demande de décision préjudicielle que, selon l’article 1er, paragraphe 2, point 8, de l’ADBG, peut constituer une infraction antidopage le fait pour un sportif d’avoir un contact avec un membre du personnel d’encadrement visé par une interdiction ou une sanction.
154. Cela étant, la portée illimitée de la publication, liée à la mise en ligne sur Internet, me paraît aller au-delà de ce qui est nécessaire (95).
155. En effet, cet objectif d’éviter le contournement des règles semble essentiellement s’appliquer dans le monde sportif (96) et s’adresser aux personnes chargées de faire respecter les sanctions ou responsables d’organismes sportifs ou d’association sportives. Une diffusion plus restreinte de l’identité du sportif en cause semblerait, dans ce contexte, atteindre l’objectif de façon efficace et moins attentatoire à la protection des données à caractère personnel. D’ailleurs, NADA a expliqué à l’audience que, pour certaines catégories de sportifs de moindre niveau, l’information de la suspension peut se faire par l’intermédiaire des fédérations.
156. Concernant des opérateurs économiques ou employeurs hors du monde sportif, une publication plus limitée ne leur permettrait certes pas de savoir que le sportif en cause est suspendu et qu’il leur est interdit de s’associer à lui. Cependant, pour autant qu’une telle personne non informée se verrait reprocher une association avec une personne suspendue (sportif ou autre personne), il me semble que les règles en matière de charge de la preuve permettraient, dans ce cas, de vérifier si cette « association » était ou non consciente et intentionnelle (97). Inversement, le fait de publier sur Internet la suspension, associée au nom de la personne suspendue en cause, me semble finalement aboutir à mettre à la charge de tout un chacun la responsabilité de vérifier si la personne avec qui il contracte ou s’associe est ou non suspendue. Cette suspicion généralisée, induite par la publication en ligne du « casier sportif », me semble aller au-delà de l’objectif visé.
157. J’ajoute que le choix d’une publication en ligne par NADA et l’ÖADR est de nature à porter davantage atteinte au droit à la vie privée, en particulier compte tenu de sa portée urbi et orbi (98). C’est également l’avis du groupe de travail « Article 29 », qui souligne le risque d’utilisation à d’autres fins ou de traitements ultérieurs des données publiées en ligne, plus intrusives (99).
158. Selon moi, une publication nominative, mais limitée aux organismes pertinents et fédérations sportives, accompagnée par exemple d’une publication sur Internet pseudonymisée, permettrait d’atteindre les deux objectifs visés de façon moins attentatoire à la protection des données personnelles et de façon plus conforme au principe de minimisation des données.
159. J’ajoute que l’argument avancé par NADA, fondé sur la comparaison avec la publication des sanctions dans le cadre d’autres professions, comme les avocats ou professions de santé, ne me convainc pas. En effet, comme indiqué à cet égard par le gouvernement néerlandais, la publication des noms d’avocats ou de médecins suspendus paraît nécessaire, car tout un chacun peut être un justiciable ou un patient, alors que, dans le cadre du dopage, il suffit que le nom du sportif concerné soit connu dans le milieu sportif, par les fédérations sportives concernées, sauf hypothèses particulières à apprécier au cas par cas.
160. En conséquence, j’éprouve de sérieux doutes sur la nécessité du traitement en cause au regard des objectifs poursuivis.
– Sur la proportionnalité « stricto sensu », à savoir la mise en balance des intérêts en présence
161. Pour apprécier la proportionnalité du traitement concerné, il y a lieu de procéder à une mise en balance des différents droits, libertés ou intérêts en jeu. En effet, un objectif d’intérêt général ne saurait être poursuivi sans tenir compte du fait qu’il doit être concilié avec les droits fondamentaux concernés, ce qui implique, en l’espèce, d’effectuer une pondération équilibrée entre, d’une part, l’objectif d’intérêt général visé et, d’autre part, les droits de la personne dont les données à caractère personnel sont divulguées (100).
162. J’ajoute qu’il convient, dans le cadre de cette analyse, d’avoir égard aux réponses que la Cour apportera à la deuxième question préjudicielle concernant l’existence de données de santé au sens de l’article 9 du RGPD et à la cinquième question préjudicielle concernant les données relatives à des condamnations pénales ou infractions, relevant de l’article 10 du RGPD. En effet, le respect du principe de « minimisation » de données sensibles au sens de l’article 9 du RGPD ne s’oppose pas à ce que des données à caractère personnel soient communiquées au public lorsque cette communication est nécessaire et proportionnée (101). Il en va de même lorsque les données en question relèvent de l’article 10 du RGPD, pourvu que la législation autorisant cette communication prévoie des garanties appropriées pour les droits et les libertés des personnes concernées (102). Cela étant, concernant des données relevant de ces deux dispositions, les intérêts des personnes concernées revêtent une importance particulière dans l’exercice de pondération des intérêts en présence (103).
163. En l’espèce, le traitement en cause, qui inclut la publication en ligne de l’identité du sportif concerné, constitue une ingérence importante dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel et est de nature à provoquer la désapprobation de la société et à entraîner la stigmatisation de la personne concernée. C’est d’ailleurs l’effet de « pilori électronique » voulu ici.
164. La gravité de cette ingérence doit ainsi être mise en balance avec l’importance des objectifs visés par la publication.
165. Je relève que la question de la juridiction de renvoi porte sur la publication prévue par l’ADBG, telle que mise en œuvre par NADA et l’ÖADR, pour les sportifs professionnels n’entrant pas dans les exceptions prévues (lesquelles concernent les sportifs amateurs, les personnes vulnérables et les « lanceurs d’alerte »). La publication à leur égard consiste en une publication nominative qui est à la fois illimitée dans sa portée puisqu’elle est diffusée par Internet au grand public, illimitée parfois dans sa durée dans le cas des suspensions à vie (qui concerne l’un des requérants au principal), systématique et automatique, qui n’implique aux termes de l’ADBG aucune appréciation individuelle en fonction des circonstances.
166. Avec toute la prudence que cette dimension du contrôle de proportionnalité requiert toujours (104), j’ai tendance à penser que la combinaison de ces différents éléments (caractère nominatif, illimité, systématique et automatique de la publication) est susceptible d’aboutir dans certaines circonstances à une ingérence dans les droits à la protection des données à caractère personnel des personnes en cause telle qu’elle ne satisfait pas aux exigences d’une pondération équilibrée entre les différents intérêts en présence.
167. Par exemple, dans le cas d’une sanction de suspension longue (105), voire à vie, d’un athlète peu connu, dont la vie sportive professionnelle a pris fin depuis un certain temps, on pourrait considérer que la publication licite de ses données à caractère personnel devient, avec le temps, excessive au regard des finalités visées.
168. NADA soutient qu’il convient de ne procéder à aucune différenciation selon la gravité ou le caractère répété des violations commises, au motif que cela est pris en compte au stade de la sanction et n’a pas d’incidence sur la publication, qui doit avoir lieu indépendamment des circonstances. Cet argument ne me convainc pas. En effet, la publication répond à des objectifs qui, s’ils s’inscrivent dans le cadre de la lutte antidopage, sont spécifiques et impliquent une mise en balance des intérêts en présence permettant de prendre en compte les exigences du RGPD, non considérées au stade de la sanction antidopage.
169. Dès lors, je suis d’avis qu’une obligation de publication de données à caractère personnel, telle que celle résultant de l’ADBG et mise en œuvre par l’ÖADR et NADA, n’est admissible que pour autant que, eu égard aux objectifs visés de dissuasion et d’éviter le contournement des règles antidopage, elle demeure proportionnée, notamment en matière de portée et de durée de publication, compte tenu des circonstances spécifiques en cause, ce qu’il appartient à la juridiction de renvoi de vérifier.
Sur le moment de la mise en balance
170. La juridiction de renvoi demande si le RGPD exige, avant la publication, une mise en balance au cas par cas des intérêts en présence par le responsable du traitement ou si le contrôle de proportionnalité prévu par le législateur est suffisant.
171. En l’espèce, le législateur a envisagé des situations prédéfinies indépendamment des circonstances propres à chaque cas individuel, en évoquant les éléments de la publication et en réservant toutefois certaines exceptions. Il a, ce faisant, d’ores et déjà encadré la publication et effectué une certaine mise en balance de l’intérêt des sportifs dont les données à caractère personnel sont divulguées, d’une part, et des intérêts liés à la lutte antidopage, d’autre part.
172. Je relève cependant que, en tant que responsables du traitement désignés par le législateur national, les organismes nationaux antidopage en cause (ici NADA et l’ÖADR) demeurent, en application de l’article 5, paragraphe 2, du RGPD, en charge de la mise en œuvre du traitement et responsables (« accountable ») du respect des principes de licéité et de proportionnalité de ce traitement, ainsi que du respect du principe de minimisation. Ils doivent d’ailleurs être en mesure de démontrer que le paragraphe 1 de cette disposition est respecté.
173. Ils doivent également, en vertu de l’article 24, paragraphe 1, et de l’article 25, paragraphe 1, du RGPD, mettre en œuvre des mesures techniques et organisationnelles appropriées (telles que la pseudonymisation), tant au moment de la détermination des moyens du traitement qu’au moment du traitement lui-même. Ces mesures, qui doivent être réexaminées et actualisées si nécessaire, sont destinées à mettre en œuvre les principes relatifs à la protection des données de façon effective et à assortir le traitement des garanties nécessaires afin de répondre aux exigences du RGPD et de protéger les droits de la personne concernée (106).
174. Je relève d’ailleurs que, en l’espèce, même si le législateur a déterminé les finalités du traitement ainsi que, en partie, les moyens de ce traitement, ce sont NADA et l’ÖADR qui, en tant que responsables du traitement et en charge de sa mise en œuvre, ont opté pour une publication par Internet, l’ÖADR ayant également opté pour une publication du nom de la substance interdite éventuellement en cause.
175. Dans ce contexte, la réponse à la question posée me paraît liée au contenu et au degré de précision de la loi nationale applicable au responsable du traitement. Il me semble que le fait que le législateur national ait prévu le principe de publication n’exempte pas le responsable du traitement de sa responsabilité en matière de respect des exigences du RGPD et de protection des droits des personnes concernées. Cela peut impliquer de sa part que, dans le cadre de l’application de la législation nationale, il prenne en compte des circonstances spécifiques à l’affaire (107). D’ailleurs, je note que cette mise en balance au cas par cas lui incombe en l’espèce pour les publications de données concernant les sportifs suspendus relevant des exceptions mentionnées dans l’ADBG.
176. Partant, je suis d’avis que les dispositions précitées du RGPD, si elles ne l’exigent pas dans tous les cas, peuvent impliquer que le responsable du traitement effectue une mise en balance au cas par cas des intérêts en présence lorsqu’il détermine notamment les moyens du traitement, donc y compris avant la publication. À cet égard, pourraient être pris en compte des éléments tenant à la nature, à la portée, au contexte et aux finalités du traitement ainsi qu’aux risques, dont le degré de probabilité et de gravité peut varier, pour les droits et libertés desdites personnes.
177. Ni l’argument selon lequel une telle marge d’appréciation du responsable du traitement risque d’aboutir à une discrimination entre des sportifs se trouvant dans des situations comparables, ni le risque d’arbitraire, d’abus, voire de corruption, évoqués notamment par la Commission et NADA, ne peuvent justifier de renoncer à une telle mise en balance au cas par cas, destinée à traiter les données à caractère personnel de manière conforme au RGPD. Une telle mise en balance peut en effet précisément éviter la discrimination qui pourrait résulter de l’application d’un traitement identique à des situations différentes.
178. Il s’ensuit, selon moi, que les articles 5 et 6 du RGPD, lus à la lumière de l’ensemble des obligations et responsabilités incombant au responsable du traitement, doivent être interprétés comme ne s’opposant pas à une mise en balance au cas par cas des intérêts en présence par le responsable du traitement avant ce traitement de données, voire, dans certaines circonstances, comme exigeant une telle mise en balance si elle s’impose pour traiter les données à caractère personnel de manière conforme au RGPD.
Conclusion sur les troisième et quatrième questions
179. Eu égard à ce qui précède, je propose à la Cour de répondre à la troisième question que l’article 5, paragraphe 1, sous a) et c), et l’article 6, paragraphe 3, deuxième alinéa, du RGPD doivent être interprétés en ce sens qu’ils s’opposent à une obligation, imposée aux organismes nationaux antidopage, de publier des données à caractère personnel, telles que le nom des sportifs sanctionnés pour violation de la réglementation antidopage, la durée de la suspension infligée et ses motifs (en particulier le nom de la substance interdite), lorsque, compte tenu des circonstances spécifiques en cause, l’exigence de proportionnalité n’est pas ou plus remplie, notamment en matière de portée et de durée de publication, ce qu’il appartient à la juridiction de renvoi de vérifier.
180. En ce qui concerne la quatrième question, je propose à la Cour de considérer que les articles 5 et 6 du RGPD, lus à la lumière de l’ensemble des obligations et responsabilités incombant au responsable du traitement, doivent être interprétés en ce sens qu’ils exigent que ce dernier effectue, avant le traitement de données, une mise en balance au cas par cas des intérêts en présence si celle-ci s’impose pour traiter les données à caractère personnel de manière conforme au RGPD.
Sur la septième question
181. Pour comprendre la septième question, il convient de rappeler le contexte dans lequel elle est posée. La requérante YT, avant même que ses données à caractère personnel n’aient été publiées sur les sites Internet de NADA et de l’ÖADR, a formé une réclamation auprès de l’autorité autrichienne de protection des données fondée sur l’article 17 du RGPD prévoyant le droit à l’effacement. Cette dernière autorité a rejeté la réclamation de YT, les données en cause n’ayant encore pas été publiées. La publication de ces données est ensuite intervenue au cours de la procédure de recours contre le rejet de sa réclamation par l’autorité autrichienne de protection des données.
182. Par sa septième question, la juridiction de renvoi demande, premièrement, si une réclamation, effectuée au titre de l’article 77 du RGPD concernant une violation alléguée du droit à l’effacement (article 17 du RGPD), est recevable alors que le traitement de données à caractère personnel de la personne concernée n’avait pas encore eu lieu au moment de l’introduction de sa réclamation auprès de l’autorité de contrôle et au moment où cette dernière a pris une décision.
183. Elle s’interroge, deuxièmement, sur la recevabilité d’une telle réclamation a posteriori si, au moment de l’introduction de la réclamation, il existait déjà des indices concrets qu’un traitement de données à caractère personnel par le responsable du traitement était imminent ou aurait lieu dans un avenir proche.
La réclamation auprès de l’autorité de contrôle avant le traitement de données est-elle recevable ?
184. L’article 77, paragraphe 1, du RGPD prévoit que toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle « si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement ».
185. Conformément à une jurisprudence constante de la Cour, je tiendrai compte, pour interpréter cette disposition, non seulement de ses termes, mais également de son contexte et des objectifs poursuivis par la réglementation dont elle fait partie (108).
186. Premièrement, le texte de l’article 77 du RGPD n’impose pas de délai pour introduire une réclamation concernant un traitement de données à caractère personnel. Dans les cas où le traitement a eu lieu puis est contesté, plus la réclamation est déposée tôt, plus le contrôle par l’autorité peut avoir lieu rapidement et plus tôt la protection de la personne concernée peut être assurée (109). En revanche, le texte de l’article 77, paragraphe 1, du RGPD ne prévoit pas l’hypothèse dans laquelle le traitement n’a pas encore eu lieu. Je relève, à cet égard, que cette disposition emploie le terme « constitue » au présent, ce qui semble impliquer que le traitement doit déjà avoir eu lieu, mais que l’hypothèse d’un traitement à venir n’est pas, en tant que telle, exclue (110).
187. Deuxièmement, au titre des éléments de contexte, il y a lieu d’évoquer les missions et pouvoirs des autorités de contrôle. À cet égard, en vertu de l’article 57, paragraphe 1, sous f), du RGPD, chaque autorité de contrôle est tenue de traiter les réclamations introduites par toute personne concernée, d’examiner l’objet de la réclamation dans la mesure nécessaire et d’informer l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable. L’autorité de contrôle doit ainsi procéder au traitement d’une telle réclamation « avec toute la diligence requise » (111).
188. De plus, l’article 58, paragraphe 1, du RGPD investit chaque autorité de contrôle d’importants pouvoirs d’enquête aux fins de traiter les réclamations introduites. Lorsqu’une telle autorité constate, à l’issue de son enquête, une violation des dispositions de ce règlement, elle est tenue de réagir de manière appropriée afin de remédier à l’insuffisance constatée. À cet effet, l’article 58, paragraphe 2, du RGPD énumère les différentes mesures correctrices que l’autorité de contrôle peut adopter et elle dispose à cet égard d’une marge d’appréciation quant au choix des moyens appropriés et nécessaires (112). Parmi les pouvoirs de l’autorité de contrôle prévus à l’article 58, paragraphe 2, sous a), du RGPD, elle peut « avertir » un responsable du traitement du fait que les opérations « envisagées » sont « susceptibles » de violer le RGPD, ce qui s’inscrit dans une approche que l’on peut qualifier de « conservatoire » des droits de la personne concernée (113).
189. Toutes ces exigences et pouvoirs des autorités de contrôle visent à renforcer la procédure de réclamation afin d’en faire un mécanisme apte à sauvegarder de manière efficace les droits et les intérêts des personnes concernées, soit « un véritable recours administratif » (114).
190. Signalons également, au titre des éléments de contexte, que, comme souligné par la Commission, le responsable du traitement doit remplir certaines obligations, et notamment informer la personne concernée avant de procéder au traitement (115).
191. Il me semble donc qu’une approche conservatoire ou préventive de la part des autorités de contrôle dans le cadre du traitement des réclamations ne saurait, a priori, être exclue dans le contexte du RGPD.
192. Troisièmement, cette interprétation est confirmée par les objectifs que ce règlement poursuit. En effet, il ressort notamment de son considérant 10 qu’il vise à assurer un niveau élevé de protection des personnes physiques à l’égard du traitement des données à caractère personnel au sein de l’Union. Le considérant 11 dudit règlement énonce, en outre, qu’une protection effective de ces données exige de renforcer les droits des personnes concernées.
193. Or, restreindre l’obligation incombant aux autorités de contrôle de traiter les réclamations, en vertu de l’article 57, paragraphe 1, sous f), du RGPD, en interprétant l’article 77, paragraphe 1, de ce règlement comme excluant toute possibilité d’introduire une réclamation auprès d’une autorité de contrôle « en vue d’un traitement », pourrait être en contradiction avec les objectifs poursuivis par ledit règlement, notamment avec celui d’assurer un niveau élevé de protection des personnes physiques à l’égard du traitement des données à caractère personnel au sein de l’Union.
194. Je considère donc, au vu de l’ensemble de ces considérations, qu’il ne saurait être exclu qu’une réclamation effectuée au titre de l’article 77 du RGPD puisse être recevable, en dépit du fait que le traitement de données à caractère personnel de la personne concernée n’a pas encore eu lieu au moment de l’introduction de sa réclamation auprès de l’autorité de contrôle.
195. J’estime cependant, à l’instar de la Commission et du gouvernement autrichien, que la violation alléguée du RGPD doit s’y prêter et que le traitement concerné, qui est, en l’occurrence, la publication des données à caractère personnel, n’ait pas un caractère purement hypothétique (116).
196. En l’espèce, la Cour est saisie d’une demande, fondée sur l’article 17 du RGPD, visant une réclamation en vue de l’effacement des données en cause, la requérante au principal concernée (YT) ayant précisé à cet égard que la publication de ses données était « presque certainement imminente ».
197. Or, une réclamation visant l’effacement de ces données (tout comme une demande de rectification des données) suppose, par hypothèse, que le traitement en cause, ici la publication des données, ait eu lieu. Il paraît en effet impossible pour le responsable du traitement de donner suite à une telle réclamation et d’effacer des données si elles n’ont pas encore été divulguées, sauf à interpréter cette réclamation comme visant en réalité à empêcher la publication desdites données (117) (et non à les effacer), ce qu’il incombe à la juridiction de renvoi d’apprécier.
198. J’ajoute qu’une telle interprétation ne se heurte pas aux objectifs de garantir un niveau élevé de protection des données à caractère personnel, dès lors que d’autres dispositions du RGPD permettent de répondre aux demandes concernant un traitement à venir. En effet, comme l’indique le gouvernement autrichien, l’article 79, paragraphe 1, du RGPD, relatif au droit à un recours juridictionnel effectif, implique l’existence, en droit national, d’actions procédurales en cas de menace d’atteinte illicite imminente aux droits conférés par le RGPD. Cela inclut la possibilité en droit autrichien d’intenter des actions en cessation préventives avant le début du traitement, voire, si le traitement a débuté, la possibilité de demander à l’autorité autrichienne de contrôler la limitation de ce traitement sur le fondement de l’article 18 du RGPD.
199. Dès lors, je suis d’avis qu’il ne saurait être exclu qu’une réclamation effectuée sur le fondement de l’article 77 du RGPD puisse être recevable, en dépit du fait que le traitement de données à caractère personnel de la personne concernée n’a pas encore eu lieu au moment de l’introduction de sa réclamation auprès de l’autorité de contrôle, mais revêt un caractère qui n’est pas purement hypothétique. Toutefois, dans les circonstances du litige au principal, la réclamation, fondée sur le droit à l’effacement prévu à l’article 17 du RGPD, n’est pas recevable dès lors qu’elle concerne un traitement (ici la publication des données à caractère personnel de la personne concernée) qui, même imminent, n’existait ni au moment du dépôt de la réclamation de cette personne devant l’autorité de contrôle ni au moment de l’adoption de la décision de cette autorité de contrôle.
La réclamation auprès de l’autorité de contrôle devient-elle recevable « a posteriori » ?
200. Je relève que cette question concerne l’interprétation de l’article 77 du RGPD, relatif au droit d’introduire une réclamation auprès de l’autorité de contrôle. Il semble donc que la juridiction de renvoi demande si une telle réclamation, déclarée irrecevable, pourrait devenir a posteriori recevable devant l’autorité de contrôle si le traitement en cause (ici la divulgation des données) intervient alors qu’un recours contre la décision de cette autorité de contrôle est pendant devant la juridiction d’appel. Il me semble qu’il appartient à cet égard à l’ordre juridique interne de régler la question de savoir si le juge d’appel pourrait, voire devrait, dans une telle situation, renvoyer la question à l’autorité de contrôle pour réexamen à l’aune des nouveaux éléments factuels, s’il incombe à la personne concernée de réintroduire une réclamation ou si le juge d’appel peut lui-même statuer sur la situation dont il est saisi au regard de nouveaux éléments factuels consistant en l’occurrence en la publication des données. Il convient de veiller à cet égard à ce que soient assurés l’effectivité de la protection des droits garantis par le RGPD et l’application cohérente et homogène de ses dispositions.
201. Pour autant que, à l’instar du gouvernement autrichien, il convient de comprendre la question de la juridiction de renvoi comme visant la recevabilité d’une telle réclamation devant le juge saisi en appel, il s’agit dans ce cas d’examiner les conséquences des effets liés à un changement factuel, à savoir le traitement consistant en la publication des données à caractère personnel, survenu après la décision de l’autorité de contrôle et alors qu’un recours juridictionnel, exercé sur le fondement de l’article 78 du RGPD, est pendant contre cette décision, dans l’hypothèse où il existait, lors de la réclamation, des indices concrets qu’un traitement de données à caractère personnel par le responsable du traitement était imminent ou aurait lieu dans un avenir proche.
202. Il convient de rappeler que le législateur de l’Union est intervenu, dans le cadre du RGPD, pour offrir différentes voies de recours aux personnes invoquant une violation de ce règlement, étant entendu que chacune de ces voies de recours doit pouvoir être exercée « sans préjudice » des autres (118).
203. Ainsi, l’article 78, paragraphe 1, du RGPD prévoit que, sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne physique ou morale a le droit de former un recours juridictionnel effectif contre une décision juridiquement contraignante d’une autorité de contrôle qui la concerne. Il en découle que les juridictions saisies d’un recours contre une décision d’une autorité de contrôle devraient disposer d’une pleine compétence, et notamment de celle d’examiner toutes les questions de fait et de droit relatives au litige dont elles sont saisies (119). Le contrôle juridictionnel exercé sur une décision sur réclamation adoptée par une autorité de contrôle, pour être « effectif », ainsi que l’exige cette disposition, est donc entier (120). En outre, l’article 79, paragraphe 1, de ce règlement garantit à chaque personne concernée le droit à un recours juridictionnel effectif « sans préjudice de tout recours administratif ou extrajudiciaire qui lui est ouvert, y compris le droit d’introduire une réclamation auprès d’une autorité de contrôle au titre de l’article 77 ».
204. Certes, il a déjà été constaté que, par l’adoption du RGPD, le législateur de l’Union n’a pas entendu procéder à une harmonisation exhaustive des voies de recours ouvertes en cas de violation des dispositions du RGPD, prévues aux articles 77 à 79 de ce règlement (121). En particulier, lorsqu’une réclamation auprès d’une autorité de contrôle et des recours juridictionnels sont introduits au sein d’un même État membre au sujet d’un même traitement de données à caractère personnel, le RGPD ne prévoit pas de dispositions particulières.
205. Toutefois, si le législateur de l’Union n’a pas entendu procéder à une harmonisation exhaustive à cet égard, il n’a pas, pour autant, souhaité exclure la possibilité évoquée par la question du juge de renvoi, à savoir admettre la recevabilité a posteriori d’une réclamation introduite dans des circonstances telles que celles du litige au principal.
206. En l’absence de réglementation de l’Union en la matière, il appartient donc à chaque État membre, en vertu du principe d’autonomie procédurale des États membres, de régler les modalités des procédures administratives et juridictionnelles destinées à assurer un niveau élevé de sauvegarde des droits que les justiciables tirent du droit de l’Union. Dans ce contexte, il incombe au juge national de veiller à ce que soient assurés l’effectivité de la protection des droits garantis par le RGPD, l’application cohérente et homogène des dispositions de ce règlement ainsi que le droit à un recours effectif devant un tribunal, visé à l’article 47 de la Charte (122).
207. Partant, c’est sur le fondement des dispositions procédurales nationales qu’il appartient à la juridiction de renvoi de déterminer comment les voies de recours prévues par la règlementation nationale doivent être mises en œuvre dans chaque cas. Elle doit à cet égard s’assurer que les modalités concrètes d’exercice des voies de recours n’affectent pas de manière disproportionnée le droit à un recours effectif devant un tribunal. Elle doit également veiller à ce que soit assurée l’effectivité de la protection des droits garantis par le RGPD et que ces modalités respectent les principes d’effectivité et d’équivalence (123).
208. En l’absence de précision de la part de la juridiction de renvoi sur les possibilités offertes par son droit national, il y a donc lieu, à mon sens, de considérer que l’article 77, paragraphe 1, du RGPD, examiné à la lumière de l’article 78, paragraphe 1, de ce règlement, doit être interprété en ce sens qu’il ne s’oppose pas à la recevabilité d’une réclamation précédemment rejetée comme irrecevable par l’autorité de contrôle, lorsque le traitement de données intervient alors que le recours juridictionnel portant sur les mêmes faits est pendant devant le juge. Il appartient à l’ordre juridique interne de régler, dans le respect des principes d’équivalence et d’effectivité, les conditions d’une telle recevabilité, tant devant l’autorité de contrôle que devant le juge, de sorte que soient assurés l’effectivité de la protection des droits garantis par le RGPD, l’application cohérente et homogène de ses dispositions ainsi que le droit à un recours effectif devant un tribunal.
Conclusion sur la septième question
209. Compte tenu de l’ensemble des considérations qui précèdent, je propose à la Cour de répondre à la septième question que l’article 77 du RGPD doit être interprété en ce sens qu’une réclamation, fondée sur l’article 17 de ce règlement (violation alléguée du droit à l’effacement), n’est pas recevable dès lors qu’elle concerne un traitement de publication des données à caractère personnel de la personne concernée qui, même imminent, n’existait ni au moment de la réclamation introduite par cette personne auprès de l’autorité de contrôle ni au moment de l’adoption de la décision de cette autorité, sans préjudice cependant de la recevabilité éventuelle d’une réclamation qui viserait un traitement de données à caractère personnel non purement hypothétique et se prêtant à une action préventive ou conservatoire de l’autorité de contrôle.
210. En outre, examiné à la lumière de l’article 78, paragraphe 1, du RGPD, l’article 77 de ce règlement ne s’oppose pas à la recevabilité d’une réclamation précédemment rejetée comme irrecevable par l’autorité de contrôle, lorsque le traitement de données intervient alors que le recours juridictionnel portant sur les mêmes faits est pendant devant le juge. Il appartient à l’ordre juridique interne de régler, dans le respect des principes d’équivalence et d’effectivité, les conditions d’une telle recevabilité, tant devant l’autorité de contrôle que devant le juge, de sorte que soient assurés l’effectivité de la protection des droits garantis par le RGPD, l’application cohérente et homogène de ses dispositions ainsi que le droit à un recours effectif devant un tribunal.
Conclusion
211. Eu égard à tout ce qui précède, je propose à la Cour de répondre comme suit aux questions préjudicielles posées par le Bundesverwaltungsgericht (tribunal administratif fédéral, Autriche) :
1) L’article 16, paragraphe 2, première phrase, TFUE et l’article 2, paragraphe 2, sous a), du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE,
doivent être interprétés en ce sens que :
les traitements des données à caractère personnel consistant, en application des règles nationales antidopage, en la publication des noms des sportifs concernés, de la discipline sportive pratiquée, de la violation des règles antidopage commise, de la sanction prononcée ainsi que du début et de la fin de cette sanction ne sauraient être considérés comme effectués dans le cadre d’une « activité qui ne relève pas du champ d’application du droit de l’Union », au sens de l’article 2, paragraphe 2, sous a), du règlement 2016/679.
2) L’article 9, paragraphe 1, du règlement 2016/679,
doit être interprété en ce sens que :
ne constitue pas un traitement d’une donnée concernant la santé, au sens de cette disposition, le fait de divulguer le nom du sportif concerné, la durée de sa suspension et les motifs de cette suspension, sauf si ces motifs incluent le nom de la ou des substance(s) interdite(s) dont la présence a été détectée dans l’organisme du sportif en cause, dès lors que cette indication est de nature à révéler, même indirectement, des informations sur l’état de santé, même futur, du sportif concerné, ce qu’il appartient à la juridiction de renvoi de vérifier.
3) L’article 5, paragraphe 1, sous a) et c), et l’article 6, paragraphe 3, deuxième alinéa, du règlement 2016/679,
doivent être interprétés en ce sens que :
ils s’opposent à une obligation, imposée aux organismes nationaux antidopage, de publier des données à caractère personnel, telles que le nom des sportifs sanctionnés pour violation de la réglementation antidopage, la durée de la suspension infligée et ses motifs (en particulier le nom de la substance interdite), lorsque, compte tenu des circonstances spécifiques en cause, l’exigence de proportionnalité n’est pas ou plus remplie, notamment en matière de portée et de durée de publication, ce qu’il appartient à la juridiction de renvoi de vérifier.
4) Les articles 5 et 6 du règlement 2016/679, lus à la lumière de l’ensemble des obligations et responsabilités incombant au responsable du traitement,
doivent être interprétés en ce sens que :
ils exigent que ce dernier effectue, avant le traitement de données, une mise en balance au cas par cas des intérêts en présence si celle-ci s’impose pour traiter les données à caractère personnel de manière conforme au règlement 2016/679.
5) L’article 10 du règlement 2016/679,
doit être interprété en ce sens que :
il est susceptible de s’appliquer aux traitements de données à caractère personnel relatives aux condamnations ou infractions prévues par la réglementation nationale antidopage, dès lors que, indépendamment de la qualification de ces infractions en droit interne, les condamnations qu’elles impliquent poursuivent une finalité répressive et présentent un degré de sévérité tel qu’elles ont un effet équivalant à une sanction pénale, ce qu’il appartient à la juridiction de renvoi de vérifier.
6) L’article 10 du règlement 2016/679, lu à la lumière de l’article 79, paragraphe 1, de ce règlement,
doit être interprété en ce sens que :
les activités ou décisions d’une autorité à laquelle le contrôle du traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes a été confié en vertu de cette disposition doivent pouvoir faire l’objet d’un contrôle juridictionnel.
7) L’article 77 du règlement 2016/679,
doit être interprété en ce sens que :
– une réclamation, fondée sur l’article 17 de ce règlement (violation alléguée du droit à l’effacement), n’est pas recevable dès lors qu’elle concerne un traitement de publication des données à caractère personnel de la personne concernée qui, même imminent, n’existait ni au moment de la réclamation introduite par cette personne auprès de l’autorité de contrôle ni au moment de l’adoption de la décision de cette autorité, sans préjudice cependant de la recevabilité éventuelle d’une réclamation qui viserait un traitement de données à caractère personnel non purement hypothétique et se prêtant à une action préventive ou conservatoire de l’autorité de contrôle ;
– examiné à la lumière de l’article 78, paragraphe 1, du règlement 2016/679, il ne s’oppose pas à la recevabilité d’une réclamation précédemment rejetée comme irrecevable par l’autorité de contrôle, lorsque le traitement de données intervient alors que le recours juridictionnel portant sur les mêmes faits est pendant devant le juge. Il appartient à l’ordre juridique interne de régler, dans le respect des principes d’équivalence et d’effectivité, les conditions d’une telle recevabilité, tant devant l’autorité de contrôle que devant le juge, de sorte que soient assurés l’effectivité de la protection des droits garantis par le règlement 2016/679, l’application cohérente et homogène de ses dispositions ainsi que le droit à un recours effectif devant un tribunal.
1 Langue originale : le français.
2 Signée à Paris le 19 octobre 2005 et entrée en vigueur le 1er février 2007.
3 Voir, sur l’interaction des différentes strates normatives, Rigaux, F., « Les situations juridiques individuelles dans un système de relativité générale – Cours général de droit international privé », Recueil des cours de l’Académie de droit international de La Haye, tome 213, 1989, en particulier p. 67 à 68. Voir, plus particulièrement sur la règlementation anti-dopage, Diakité, A., La mise en œuvre du Code mondial antidopage par les États, Bruylant, Bruxelles, 2023, points 127 et suiv.
4 Voir, par exemple, respectivement, arrêts du 12 décembre 1974, Walrave et Koch (36/74, EU:C:1974:140) et du 21 décembre 2023, European Superleague Company (C‑333/21, ci-après l’« arrêt European Superleague Company », EU:C:2023:1011).
5 La première affaire NADA a en effet été déclarée irrecevable par arrêt du 7 mai 2024, NADA e.a. (C‑115/22, EU:C:2024:384). Voir, cependant, conclusions de l’avocate générale Ćapeta dans la même affaire (C‑115/22, EU:C:2023:676).
6 Règlement du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1).
7 Sur l’adoption d’un nouveau code, prévue en 2027 (voir site Internet de l’AMA disponible à l’adresse suivante : https://www.wada-ama.org/fr/nos-activites/le-code-mondial-antidopage/revision-du-code), voir recommandation 1/2025, adoptée le 11 février 2025 par le Comité européen de la protection des données (CEPD), publiée sur le site du CEPD, disponible à l’adresse suivante : https://www.edpb.europa.eu/system/files/2025-08/edpb_recommendations_202501_wada_2027_world_anti-doping_code_fr.pdf.
8 Affaire C‑115/22 (JO 2022, C 207, p. 15 à 16).
9 Arrêt NADA e.a. (C‑115/22, EU:C:2024:384).
10 Directive du Parlement et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO 2016, L 119, p. 89).
11 Voir arrêt du 6 novembre 2003, Lindqvist (C‑101/01, ci-après l’« arrêt Lindqvist », EU:C:2003:596, points 25 et 26).
12 Voir, en ce sens, arrêts du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité) (C‑439/19, ci-après l’« arrêt Latvijas Republikas Saeima », EU:C:2021:504, point 62 et jurisprudence citée) ; du 20 octobre 2022, Koalitsia « Demokratichna Bulgaria – Obedinenie » (C‑306/21, EU:C:2022:813, point 35), et du 16 janvier 2024, Österreichische Datenschutzbehörde (C‑33/22, ci-après l’« arrêt Österreichische Datenschutzbehörde », EU:C:2024:46, point 37).
13 Voir arrêt Latvijas Republikas Saeima (points 66 et 67). Voir aussi, mutatis mutandis, dans le contexte de la directive 2002/58/CE du Parlement européen et du Conseil, du 12 juillet 2002, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, dite « directive vie privée et communications électroniques » (JO 2002, L 201, p. 37), arrêts du 6 octobre 2020, La Quadrature du Net e.a. (C‑511/18, C‑512/18 et C‑520/18, EU:C:2020:791, point 135), et du 5 avril 2022, Commissioner of An Garda Síochána e.a. (C‑140/20, EU:C:2022:258, point 61), qui mentionnent les « activités de nature à déstabiliser gravement les structures constitutionnelles, politiques, économiques ou sociales fondamentales d’un pays, et en particulier à menacer directement la société, la population ou l’État en tant que tel, telles que notamment des activités de terrorisme ».
14 Voir arrêt Österreichische Datenschutzbehörde (point 41) et conclusions de l’avocat général Szpunar dans cette affaire (C‑33/22, EU:C:2023:397, point 84).
15 Voir arrêt du 9 juillet 2020, Land Hessen (C‑272/19, EU:C:2020:535) : il s’agissait des activités de nature tant politique qu’administrative de la commission des pétitions du Hessischer Landtag (Parlement du Land de Hesse, Allemagne), qui étaient de nature publique et propres à ce Land, cette commission contribuant indirectement à l’activité parlementaire.
16 Voir arrêt Österreichische Datenschutzbehörde (point 51).
17 Voir arrêt du 16 juillet 2020, Facebook Ireland et Schrems (C‑311/18, EU:C:2020:559, point 88).
18 Voir arrêt du 30 avril 2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 et C‑332/23, EU:C:2025:303, point 104).
19 Comme formulé par l’avocat général Szpunar dans ses conclusions dans l’affaire Österreichische Datenschutzbehörde (C‑33/22, EU:C:2023:397, point 68).
20 Voir conclusions de l’avocat général Szpunar dans les affaires Latvijas Republikas Saeima (Points de pénalité) (C‑439/19, EU:C:2020:1054, points 50 à 59) et Österreichische Datenschutzbehörde (C‑33/22, EU:C:2023:397, point 78).
21 Voir Lenaerts, K., « L’encadrement par le droit de l’Union européenne des compétences des États membres », dans Chemins d’Europe : mélanges en l’honneur de Jean-Paul Jacqué, Dalloz, Paris, 2010, p. 424, point 7. Voir, également, Cariat, N., et Dermine, P., « La détermination de l’applicabilité du droit de l’Union européenne à une situation particulière », dans Le droit de l’Union européenne et le juge belge / Het recht van de Europese Unie en de Belgische rechter, Bruylant, Bruxelles, 2015, p. 85 à 114, et Azoulai, L., « La formule des compétences retenues des États membres devant la Cour de justice de l’Union européenne », dans Objectifs et compétences dans l’Union européenne, Bruylant, Bruxelles, 2012, p. 341 à 368, en particulier p. 343.
22 Voir, à cet égard, arrêts European Superleague Company (point 99) et du 21 décembre 2023, Royal Antwerp Football Club (C‑680/21, EU:C:2023:1010, point 67). Voir, aussi, conclusions de l’avocat général Emiliou dans l’affaire RRC Sports (C‑209/23, EU:C:2025:362, points 22 à 28).
23 Voir arrêt European Superleague Company (point 99). Voir, par exemple, résolution du Conseil et des représentants des gouvernements des États membres, réunis au sein du Conseil, sur le plan de travail de l’Union européenne en faveur du sport (1er juillet 2024 – 31 décembre 2027) (JO 2024, C 3527, p. 1).
24 36/74, EU:C:1974:140, point 4. Voir, également, arrêt du 15 décembre 1995, Bosman (C‑415/93, EU:C:1995:463, point 73). Pour une formulation actualisée, voir arrêt du 4 octobre 2024, FIFA (C‑650/22, EU:C:2024:824, point 75 et jurisprudence citée).
25 Voir, mutatis mutandis, arrêts du 20 mai 2003, Österreichischer Rundfunk e.a. (C‑465/00, C‑138/01 et C‑139/01, EU:C:2003:294, point 42), et Lindqvist (points 40 et suiv.).
26 Voir arrêt du 18 juillet 2006, Meca-Medina et Majcen/Commission (C‑519/04 P, ci-après l’« arrêt Meca-Medina et Majcen/Commission », EU:C:2006:492, point 47). Pour les sportifs amateurs, le droit de l’Union peut être également d’application par l’intermédiaire de la citoyenneté [voir arrêt du 13 juin 2019, TopFit et Biffi (C‑22/18, EU:C:2019:497)].
27 Cette notion, au surplus, ne revêt pas nécessairement le même contenu dans tous les États membres, avec pour conséquence que, en cas de divergence d’interprétation, le champ d’application du RGPD dépendrait du droit national.
28 Voir, cependant, sur les différences de nature, de champ d’application et de régimes entre droit au respect de la vie privée et protection des données à caractère personnel, Tambou, O., « Chapitre 1. Droit autonome du droit au respect de la vie privée », dans Manuel de droit européen de la protection des données à caractère personnel, Bruylant, Bruxelles, 2020 (1re éd.), p. 21 et suiv. Concernant l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, signée à Rome le 4 novembre 1950 (ci-après la « CEDH »), voir, notamment, arrêt du 5 octobre 1994, X/Commission (C‑404/92 P, EU:C:1994:361, point 23), et Cour EDH, 25 février 1997, Z c. Finlande (CE:ECHR:1997:0225JUD002200993, § 95).
29 Est ici visé, par exemple, le risque de discrimination. Ainsi, un état de santé dégradé est susceptible d’entraîner une discrimination en matière d’accès à l’emploi, à l’assurance ou au crédit.
30 Même si elles ne sont pas directement en cause dans la présente affaire, les données relatives à la santé en relation avec les applications et appareils connectés peuvent contribuer à cerner les contours de la notion de « données de santé ». Par exemple, les « données de bien-être » ou « mesures de soi » (concernant la fréquence cardiaque, les périodes de sommeil, les régimes alimentaires, les habitudes de consommation contenues dans les cartes de supermarchés, etc.) suscitent des interrogations sur la question de savoir s’il s’agit ou non de « données de santé ». Par exemple, le nombre de pas quotidiens n’est pas en soi une donnée de santé, mais peut le devenir si cette donnée brute est combinée à d’autres données et qu’une conclusion peut en être tirée sur l’état de santé ou le risque pour la santé d’une personne (voir, à cet égard, annexe intitulée « Health data in apps and devices » de la lettre du groupe de travail « Article 29 » à la Commission, DG Connect sur mHealth, du 5 février 2015, p. 2, disponible à l’adresse suivante : https://ec.europa.eu/justice/article-29/documentation/other-document/files/2015/20150205_letter_art29wp_ec_health_data_after_plenary_annex_en.pdf).
Parmi beaucoup d’autres sur l’Internet of Things (IoT), voir Casarosa, F., et Gennari, F., « Data Sharing in the Internet of Medical Things – Between the Data Act and the EHDS », European Journal of Risk Regulation, Cambridge University Press, Cambridge, 2025, p. 1 à 23 ; voir, aussi, Yaşar, B., « I can feel your heartbeat: E-health evidence in criminal investigations », Shaping Utopia through law: How the law does (not) provide an answer to societal challenges, Intersentia, Bruxelles, 2023 (1re éd.), p. 43 à 68, en particulier p. 57, point 4.2.1.
31 Voir arrêts du 4 octobre 2024, Schrems (Communication de données au grand public) (C‑446/21, EU:C:2024:834, point 73 et jurisprudence citée), ainsi que du 4 octobre 2024, Lindenapotheke (C‑21/23, ci-après l’« arrêt Lindenapotheke », EU:C:2024:846, point 87).
32 Voir, en ce sens, arrêt Lindenapotheke (point 92). En l’espèce, seraient particulièrement pertinentes les dérogations visées à l’article 9, paragraphe 2, sous g) et i), du RGPD, qui prévoient que le traitement des données sensibles est possible s’il est « nécessaire pour des motifs d’intérêt public important » ou « pour des motifs d’intérêt public dans le domaine de la santé publique », sous réserve de proportionnalité.
33 L’article 6 de la « Convention modernisée » pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel du Conseil de l’Europe (dite « Convention 108 + »), du 18 mai 2018, utilise également ce terme et prévoit, au titre des catégories particulières de données, « les données à caractère personnel pour les informations qu’elles révèlent sur [...] la santé [...] ».
34 Voir arrêts Lindqvist (point 50) et Lindenapotheke (point 81).
35 Voir arrêts du 1er août 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, ci-après l’« arrêt Vyriausioji tarnybinės etikos komisija », EU:C:2022:601, points 123 à 127) et Lindenapotheke (point 83). Cette approche large de la définition pourrait être due à la volonté de « contrer les effets potentiels des nouvelles technologies de méga données (big data) qui pourraient obtenir beaucoup de connaissances sur la santé d’une personne en traitant des données qui ne font que révéler quelque chose sur son état de santé » (traduction libre) [voir Verhenneman, G., « Chapter III. – Understanding the Subject of Protection », dans The Patient, Data Protection and Changing Healthcare Models, Intersentia, Bruxelles, 2021 (1re éd.), p. 97 et suiv.,en particulier p. 109].
36 Voir Maisnier-Broché, L., « Fasc. 945 : Données de santé à caractère personnel – Régime général », JurisClasseur Communication, 2019.
37 Voir Herveg, J., et Van Gyshesemm, J.-M., « Titre 16 – L’impact du Règlement général sur la protection des données dans le secteur de la santé », dans Le règlement général sur la protection des données (RGPD/GDPR), Larcier, Bruxelles, 2018 (1re éd.), p. 722.
38 Voir, par analogie, document de travail sur le traitement des données à caractère personnel relatives à la santé dans les dossiers médicaux électroniques (groupe de travail « Article 29 », du 15 février 2007, WP 131, point II.2), disponible à l’adresse suivante : https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2007/wp131_fr.pdf.
39 Voir annexe intitulée « Health data in apps and devices » de la lettre du groupe de travail « Article 29 » à la Commission, DG Connect sur mHealth, du 5 février 2015, p. 2, disponible à l’adresse suivante : https://ec.europa.eu/justice/article-29/documentation/other-document/files/2015/20150205_letter_art29wp_ec_health_data_after_plenary_annex_en.pdf.
40 Voir, notamment, lignes directrices 03/2020 sur le traitement de données concernant la santé à des fins de recherche scientifique dans le contexte de la pandémie de COVID-19, adoptées par le CEPD le 21 avril 2020, point 3.1, disponible à l’adresse suivante : https://www.edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202003_healthdatascientificresearchcovid19_fr.pdf.
41 Schäfke-Zell, W., « Revisiting the definition of health data in the age of digitalized health care », International Data Privacy Law, Oxford University Press, Oxford, vol. 12, no 1, 2022, p. 33 à 43.
42 Voir conclusions de l’avocat général Szpunar dans l’affaire Lindenapotheke (C‑21/23, EU:C:2024:354, point 47).
43 Voir annexe intitulée « Health data in apps and devices » de la lettre du groupe de travail « Article 29 » à la Commission, DG Connect sur mHealth, du 5 février 2015, p. 2, disponible à l’adresse suivante : https://ec.europa.eu/justice/article-29/documentation/other-document/files/2015/20150205_letter_art29wp_ec_health_data_after_plenary_annex_en.pdf. Voir, également, sur cette question, Verhenneman, G., « Chapitre III. – Understanding the Subject of Protection », dans The Patient, Data Protection and Changing Healthcare Models, Intersentia, Bruxelles, 2021 (1re éd.), p. 97 et suiv. Notons qu’un lien même incertain peut être pris en compte [voir, Mascret, C., « Arrêt « Lindenapotheke » : vers une protection renforcée des données de santé et une ouverture des voies de recours en matière de protection des données (CJUE, 4 octobre 2024, C‑21/23) », Journal de droit européen, 2025/1, p. 17 à 20].
44 Voir annexe intitulée « Health data in apps and devices » de la lettre du groupe de travail « Article 29 » à la Commission, DG Connect sur mHealth, du 5 février 2015, p. 2, disponible à l’adresse suivante : https://ec.europa.eu/justice/article-29/documentation/other-document/files/2015/20150205_letter_art29wp_ec_health_data_after_plenary_annex_en.pdf. Voir, également, sur la distinction entre les habitudes de consommation et la dépendance, Borges, G., « Der Mann mit der Brille und die DSGVO – Der Begriff des Gesundheitsdatums », Rechtswissenschaft, vol. 14, no 2, 2023, en particulier p. 172 à 173.
45 Voir, à cet égard, annexe intitulée « Health data in apps and devices » de la lettre du groupe de travail « Article 29 » à la Commission, DG Connect sur mHealth, du 5 février 2015, p. 2 et note en bas de page 5, disponible à l’adresse suivante : https://ec.europa.eu/justice/article-29/documentation/other-document/files/2015/20150205_letter_art29wp_ec_health_data_after_plenary_annex_en.pdf. De même, les habitudes d’achat en supermarché ne sont pas en soi des données de santé, mais peuvent le devenir si elles sont combinées et analysées en vue de suivre des troubles tels que l’obésité ou le diabète.
46 La disposition selon laquelle la divulgation est effectuée « sans qu’il soit possible de remonter aux données relatives à la santé de la personne concernée » ne saurait suffire à écarter la pertinence de la question posée ici. En effet, il me semble que cette observation renvoie aux cas où est octroyée une autorisation d’usage à des fins thérapeutiques (qui permettent, à certaines conditions, à un sportif atteint d’une affection médicale d’utiliser une substance interdite ou une méthode interdite, sans que cette information soit rendue publique et sans être en infraction) ou à des détails sur les résultats des tests, qui ne sont pas en cause ici.
47 La liste de ces catégories d’infractions, numérotées de 2.1 à 2.11, figure notamment sur le site de la NADA et dans le CMA. En résumé, les infractions qui relèvent de la catégorie 2.1 correspondent à la présence d’une substance interdite, de ses métabolites ou marqueurs dans un échantillon fourni par un sportif ; 2.2 à l’usage ou tentative d’usage par un sportif d’une substance interdite ou d’une méthode interdite ; 2.3 au fait de se soustraire au prélèvement d’un échantillon, de refuser le prélèvement d’un échantillon ou de ne pas se soumettre au prélèvement d’un échantillon de la part d’un sportif ; 2.4 aux manquements aux obligations de localisation de la part d’un sportif ; 2.5 à la falsification ou tentative de falsification de tout élément du contrôle du dopage de la part d’un sportif ou d’une autre personne ; 2.6 à la possession d’une substance interdite ou d’une méthode interdite par un sportif ou un membre du personnel d’encadrement du sportif ; 2.7 au trafic ou tentative de trafic d’une substance interdite ou d’une méthode interdite par un sportif ou une autre personne ; 2.8 à l’administration ou tentative d’administration par un sportif ou une autre personne à un sportif en compétition ou hors compétition d’une substance ou d’une méthode interdite ; 2.9 à la complicité ou tentative de complicité de la part d’un sportif ou d’une autre personne ; 2.10 à l’association interdite de la part d’un sportif ou d’une autre personne, et 2.11 aux actes commis par un sportif ou une autre personne pour décourager les signalements aux autorités ou aux actes de représailles à l’encontre de tels signalements.
48 L’article 6.1 du CMA prévoit le recours à des laboratoires accrédités ou approuvés.
49 Voir point 63 des présentes conclusions.
50 Outre l’article 165 TFUE et de nombreux textes internationaux, voir Cour EDH, 18 janvier 2018, Fédération Nationale des Associations et Syndicats de Sportifs (FNASS) et autres c. France (CE:ECHR:2018:0118JUD004815111, § 165), et arrêt Meca-Medina et Majcen/Commission (point 43).
51 Voir, à cet égard, article 4.3 du CMA concernant les critères d’inclusion des substances et méthodes dans la liste des interdictions, qui visent notamment la preuve médicale ou scientifique démontrant que « l’usage de la substance ou de la méthode est un risque avéré ou potentiel pour la santé du sportif ». Voir, également, à titre d’exemple, les effets sur la santé des substances interdites dans la pratique sportive répertoriés dans le « Vidal », outil d’information sur les produits de santé dont la base de données est agréée par la Haute Autorité de Santé (HAS) française (« Les substances interdites dans la pratique sportive », VIDAL, disponible à l’adresse suivante : https://www.vidal.fr/sante/sport/sport-medicaments/sport-dopage-substances-interdites/tous-sports.html).
52 Voir arrêts Latvijas Republikas Saeima (point 100), et du 7 mars 2024, Endemol Shine Finland (C‑740/22, EU:C:2024:216, point 49). Voir, par analogie, sous l’empire de l’article 8, paragraphe 5, de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31), arrêt du 24 septembre 2019, GC e.a. (Déréférencement de données sensibles) (C‑136/17, EU:C:2019:773).
53 Voir arrêt Latvijas Republikas Saeima (points 77 à 79), suivant en cela les conclusions de l’avocat général Szpunar dans l’affaire Latvijas Republikas Saeima (Points de pénalité) (C‑439/19, EU:C:2020:1054, points 74 à 78).
54 Rappelons que le traitement de données à caractère personnel à ces fins par les « autorités compétentes » au sens de la directive 2016/680 relève de cette directive en tant que lex specialis (voir point 34 des présentes conclusions) et non du RGPD en tant que lex generalis. Toutefois, lorsque le traitement est effectué par des organismes privés (ou par des autorités compétentes, mais à d’autres fins que celles exposées dans la directive 2016/680), le RGPD, et en particulier son article 10, est susceptible de s’appliquer.
55 Voir considérant 19 du RGPD.
56 Critères ainsi nommés par référence à l’arrêt dans lequel la Cour européenne des droits de l’homme les a énoncés pour la première fois : Cour EDH, 8 juin 1976, Engel c. Pays-Bas (CE:ECHR:1976:0608JUD000510071, § 82). Ces critères ont été adoptés par la Cour notamment dans l’arrêt du 5 juin 2012, Bonda (C‑489/10, EU:C:2012:319, points 37 et suiv.). Voir, également, arrêt Latvijas Republikas Saeima (points 85 et 87 ainsi que jurisprudence citée).
57 Voir arrêts du 20 mars 2018, Menci (C‑524/15, EU:C:2018:197, point 27), et du 14 septembre 2023, Volkswagen Group Italia et Volkswagen Aktiengesellschaft (C‑27/22, EU:C:2023:663, point 46).
58 En adhérant à des organisations sportives et en participant à des manifestations et compétitions sportives, les sportifs professionnels s’engagent (contractuellement ou en donnant leur consentement) à ne pas recourir à des pratiques de dopage.
59Voir arrêt Latvijas Republikas Saeima (Latvijas Republikas Saeima point 88 et jurisprudence citée).
60 Outre les fédérations sportives internationales et nationales, citons notamment les organismes compétents désignés au niveau national, dont les « organisations nationales antidopage » (ci-après les « ONAD »), qui sont les entités désignées par chaque pays comme autorités principales responsables des programmes antidopage au plan national, répertoriées sur le site de l’AMA (voir Programme des ONAD, disponible à l’adresse suivante : https://www.wada-ama.org/fr/programme-des-onad).
61 Voir Direction générale de l’éducation, de la jeunesse, du sport et de la culture (Commission européenne), van der Sloot, B., Paun, M., Leenes, R., et al., Anti-doping & Data Protection : An evaluation of the anti-doping laws and practices in the EU Member States in light of the General Data Protection Regulation, Office des publications de l’Union européenne, 2017,en particulier p. 58, disponible à l’adresse suivante : https://data.europa.eu/doi/10.2766/042641.
62 Voir arrêts du 20 mars 2018, Garlsson Real Estate e.a. (C‑537/16, EU:C:2018:193, point 33) ; Latvijas Republikas Saeima (point 89) ; du 23 mars 2023, Dual Prod (C‑412/21, EU:C:2023:234, point 30) ; du 4 mai 2023, MV – 98 (C‑97/21, EU:C:2023:371, point 42), et du 14 septembre 2023, Vinal (C‑820/21, EU:C:2023:667, point 50).
63 Voir Diakité, A., « Chapitre 2. La mise en œuvre des sanctions applicables aux athlètes à l’épreuve du respect des droits fondamentaux », dans La mise en œuvre du Code mondial antidopage par les États, Bruylant, Bruxelles, 2023, 1re éd., point 1145, et Rouiller, C., « Avis de droit sur la compatibilité de l’article 10.2 du Code mondial antidopage avec les principes fondamentaux du droit national suisse », du 25 octobre 2005, p. 20 et suiv. (disponible à l’adresse suivante : https://www.wada-ama.org/sites/default/files/resources/files/Compatibilit%C3%A9_droit_suisse_Document_entier.pdf).
64 Voir, en ce sens, jurisprudence de la Cour EDH, qui prend en compte l’objectif (répressif ou réparateur) de la sanction encourue [Cour EDH, 23 novembre 2006, Jussila c. Finlande (CE:ECHR:2006:1123JUD007305301, § 38)].
65 Voir, en ce sens, Diakité, A., « Chapitre 2. La mise en œuvre des sanctions applicables aux athlètes à l’épreuve du respect des droits fondamentaux », dans La mise en œuvre du Code mondial antidopage par les États, Bruylant, Bruxelles, 2023, 1re éd., p. 501 et suiv., en particulier point 1143.
66 Pour une synthèse de la jurisprudence en la matière, voir Cour EDH, 6 novembre 2018, Ramos Nunes de Carvalho e Sá c. Portugal (CE:ECHR:2018:1106JUD005539113, § 123), et 5 mars 2020, Peleki c. Grèce (CE:ECHR:2020:0305JUD006929112, § 35). Voir, également, à cet égard, avis sur le Code mondial antidopage (projet de Code 2021) du 13 octobre 2019 de l’ancien président de la Cour EDH, Costa, J.-P., en particulier p. 5 et suiv., disponible à l’adresse suivante : https://www.wada-ama.org/sites/default/files/resources/files/avis_2019_code_mondial_13_octobre.pdf.
67 Les infractions à la discipline militaire en cause dans l’affaire Engel, impliquant l’affectation à une unité disciplinaire pour une période de quelques mois, ont été considérées comme relevant du volet pénal de l’article 6 de la CEDH [Cour EDH, 8 juin 1976, Engel et autres c. Pays-Bas (CE:ECHR:1976:0608JUD000510071, § 85)].
68 Pour l’application de l’article 6 de la CEDH dans son volet civil aux procédures disciplinaires menées devant des organes corporatifs et dans lesquelles le droit de pratiquer une profession se trouve directement en jeu, voir Cour EDH, 22 juillet 2021, Reczkowicz c. Pologne (CE:ECHR:2021:0722JUD004344719, § 183 à 185 et jurisprudence citée), visant des juges et avocats ; Cour EDH, 23 juin 1981, Le Compte, Van Leuven et De Meyere c. Belgique (CE:ECHR:1981:0623JUD000687875, § 41 à 51), concernant des médecins ; Cour EDH, 27 juin 1997, Philis c. Grèce (No 2) (CE:ECHR:1997:0627JUD001977392, § 45), concernant un ingénieur, ainsi que Cour EDH, 5 mars 2020, Peleki c. Grèce (CE:ECHR:2020:0305JUD006929112, § 39), concernant un notaire.
69 Voir Cour EDH, 2 octobre 2018, Mutu et Pechstein c. Suisse (CE:ECHR:2018:1002JUD004057510) ; Cour EDH, 3 septembre 2019, Bakker c. Suisse (CE:ECHR:2019:0903DEC000719807) ; Cour EDH, 28 janvier 2020, Ali Rıza et autres c. Turquie (CE:ECHR:2020:0128JUD003022610, § 153 à 161) ; Cour EDH, 18 mai 2021, Sedat Doğan c. Turquie (CE:ECHR:2021:0518JUD004890914, § 20), et Cour EDH, 18 mai 2021, Naki et AMED Sportif Faaliyetler Kulübü Derneği c. Turquie (CE:ECHR:2021:0518JUD004892416, § 20). Voir également, très récemment, Cour EDH, 10 juillet 2025, Semenya c. Suisse, (CE:ECHR:2025:0710JUD001093421, en particulier § 161).
70 Voir Cour EDH, 10 février 1983, Albert et Le Compte c. Belgique (CE:ECHR:1983:0210JUD000729975, § 30 et jurisprudence citée) ; Cour EDH, 6 novembre 2018, Ramos Nunes de Carvalho e Sá c. Portugal (CE:ECHR:2018:1106JUD005539113, § 121), et Cour EDH, 1er juin 2023, Grosam c. République tchèque (CE:ECHR:2023:0601JUD001975013, § 112).
71 Voir Cour EDH, 22 décembre 2020, Gestur Jónsson et Ragnar Halldór Hall c. Islande (CE:ECHR:2020:1222JUD006827314, § 93).
72 À l’inverse, le fait qu’une règle sanctionnant une infraction déterminée s’adresse à tous les citoyens plaide en faveur du caractère pénal de la sanction [voir Cour EDH, 21 février 1984, Öztürk c. Allemagne (CE:ECHR:1984:0221JUD000854479, § 53)].
73 Voir Cour EDH, 6 novembre 2018, Ramos Nunes de Carvalho e Sá c. Portugal (CE:ECHR:2018:1106JUD005539113, § 125).
74 Elle se distingue également des faits en cause dans l’arrêt du 20 mars 2018, Garlsson Real Estate e.a. (C‑537/16, EU:C:2018:193), dans lequel l’amende administrative pécuniaire pour agissements illicites constitutifs de manipulation de marché reposait sur un texte législatif de portée générale.
75 Voir point 100 des présentes conclusions.
76 Tribunal d’arbitrage du sport, 9 août 1999, no 98/222, B. c. International Triathlon Union (ITU) (point 43), disponible à l’adresse suivante : https://jurisprudence.tas-cas.org/Shared%20Documents/222.pdf. Voir, également, en ce sens, Soek, J., The strict liability principle and the human rights of the athlets in doping cases, T.M.C. Asser Press, La Haye, 2006, en particulier p. 272, selon lequel même si le droit disciplinaire antidopage appliqué par les fédérations et organisations sportives n’est pas en soi du droit pénal, il peut dans certains cas être qualifié de « système punitif » dans le cadre duquel les principes du droit pénal ont vocation à s’appliquer.
77 Voir Cour EDH, 5 mars 2020, Peleki c. Grèce (CE:ECHR:2020:0305JUD006929112, § 36 et jurisprudence citée).
78 Voir arrêt du 4 mai 2023, MV – 98 (C‑97/21, EU:C:2023:371, point 46), et Cour EDH, 9 octobre 2003, Ezeh et Connors c. Royaume-Uni (CE:ECHR:2003:1009JUD003966598, § 120).
79 Sur le système de sanctions, voir article 10 du CMA. Voir, également, Soek, J., The strict liability principle and the human rights of the athlets in doping cases, T.M.C. Asser Press, La Haye, 2006, en particulier p. 195 et suiv.
80 Voir Cour EDH, 22 décembre 2020, Gestur Jónsson et Ragnar Halldór Hall c. Islande (CE:ECHR:2020:1222JUD006827314, § 78), concernant des fautes commises par des professionnels du droit lors d’une audience.
81 Ici, l’autorité de contrôle au sens de cette disposition est l’autorité autrichienne de protection des données.
82 Pour un cas où la question se pose de savoir si le droit national en matière de conditions d’accès au casier judiciaire offrirait ou non des garanties suffisantes, voir affaire Commission/Hongrie (Valeurs de l’Union) (C‑769/22, 2023/C 54/19) (JO 2023, C 54, p. 16), pendante au moment de la rédaction des présentes conclusions, et conclusions de l’avocate générale Ćapeta du 5 juin 2025 dans cette aff aire (EU:C:2025:408, en particulier points 356 à 359).
83 Voir points 132 à 180 des présentes conclusions.
84 Voir arrêt Latvijas Republikas Saeima (points 74 et 75).
85 Voir article 5, paragraphe 6, point 4, de l’ADBG.
86 Voir arrêt Vyriausioji tarnybinės etikos komisija (point 70 et jurisprudence citée).
87 NADA et l’ÖADR sont tenues de publier les informations en cause, conformément, respectivement, à l’article 5, paragraphe 6, point 4, et à l’article 21, paragraphe 3, de l’ADBG.
88 Ce point n’est pas en discussion ici et l’existence d’une mission d’intérêt public ne me paraît guère faire de doute au vu de l’intérêt général poursuivi par les réglementations antidopage [voir arrêt Meca-Medina et Majcen/Commission (point 43)].
89 Une même opération de traitement peut répondre à plusieurs motifs de traitement légitimes [voir arrêt du 3 avril 2025, Ministerstvo zdravotnictví (Données relatives au représentant d’une personne morale) (C‑710/23, EU:C:2025:231, point 42)], et un seul de ces motifs légitimes suffit [voir arrêts Vyriausioji tarnybinės etikos komisija (point 71), et du 12 septembre 2024, HTB Neunte Immobilien Portfolio et Ökorenta Neue Energien Ökostabil IV (C‑17/22 et C‑18/22, EU:C:2024:738, point 38)].
90 Voir arrêt Latvijas Republikas Saeima (point 98 et jurisprudence citée).
91 Ces deux objectifs correspondent d’ailleurs à ceux évoqués par l’AMA dans le cadre de ses échanges avec le groupe de travail « Article 29 » et qui ont été repris dans le cadre du deuxième avis 4/2009, adopté le 6 février 2009, sur le standard international pour la protection des renseignements personnels de l’[AMA], sur les dispositions du code de l’AMA s’y rapportant et sur d’autres questions relatives à la vie privée dans le cadre de la lutte contre le dopage dans le sport par l’AMA et les organisations (nationales) antidopage (point 3.6 sur les sanctions) (ci-après l’« avis 4/2009 »).
92 Selon l’article 1er, paragraphe 2, point 8, de l’ADBG, peut constituer une infraction antidopage le fait pour un sportif d’avoir un contact avec un membre du personnel d’encadrement visé par une interdiction ou une sanction.
93 Voir, en ce sens, arrêt Latvijas Republikas Saeima (points 109 et 110).
94 Voir, à cet égard, arrêt du 22 novembre 2022, Luxembourg Business Registers (C‑37/20 et C‑601/20, EU:C:2022:912, point 42).
95 Voir, également, à cet égard, les réserves du groupe de travail « Article 29 » formulées dans l’avis 4/2009 au point 3.6.1. Il est aussi intéressant de relever que si l’article 14.2.4 du CMA prévoyait, dans sa version de 2009, que la publication devait être réalisée au moins par l’affichage des informations requises sur le site Internet de l’organisation antidopage pendant au moins un an, cette exigence de publication par Internet a toutefois disparu dans les versions ultérieures du CMA. J’ajoute que, en Allemagne, l’organisation antidopage procède à une publication dans un média imprimé interne (voir site Internet de la NADA Germany, disponible à l’adresse suivante : https://www.nada.de/service/news/newsdetail/veroeffentlichung-von-sanktionsentscheidungen).
96 Selon l’article 2.10 du CMA et le commentaire qui l’accompagne en note en bas de page 15, il semble qu’il s’agit surtout de s’assurer que les sportifs (et les autres personnes) ne travaillent pas avec « des entraîneurs, des soigneurs, des médecins ou tout autre membre du personnel d’encadrement du sportif qui sont suspendus pour violation des règles antidopage ou qui ont été condamnés pénalement ou ont subi une sanction disciplinaire en lien avec le dopage. Cette disposition interdit également l’association avec tout autre sportif faisant office d’entraîneur ou de membre du personnel d’encadrement du sportif pendant une période de suspension ».
97 Je relève d’ailleurs que selon le CMA, pour établir une violation de l’interdiction d’association avec une personne suspendue, c’est l’organisation antidopage qui doit établir que le sportif ou l’autre personne connaissait le statut disqualifiant du membre du personnel d’encadrement du sportif (article 2.10.2 du CMA).
98 Voir arrêt Vyriausioji tarnybinės etikos komisija (point 102), qui prend en compte le fait que la divulgation publique en ligne aboutit à rendre les données à caractère personnel en cause librement accessibles sur Internet à l’ensemble du grand public et, par suite, à un nombre potentiellement illimité de personnes. La Cour de Strasbourg prend également en compte le type de support employé pour la divulgation des données à caractère personnel, et la diffusion sur Internet a été jugée particulièrement risquée à cet égard [Cour EDH, 9 mars 2023, L.B. c. Hongrie (CE:ECHR:2023:0309JUD003634516, § 121)].
99 Voir avis 4/2009 (points 3.6.1 et 3.6.2 sur les sanctions).
100 Voir, en ce sens, arrêt Vyriausioji tarnybinės etikos komisija (point 98 et jurisprudence citée).
101 Voir article 9, paragraphe 2, sous g), du RGPD.
102 Voir arrêts du 24 septembre 2019, GC e.a. (Déréférencement de données sensibles) (C‑136/17, EU:C:2019:773, point 73), et Latvijas Republikas Saeima (point 104).
103 Le contrôle de proportionnalité s’effectue en tenant compte en particulier du fait que la donnée est considérée comme sensible [voir arrêts du 11 décembre 2019, Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, point 57), et Vyriausioji tarnybinės etikos komisija (point 99)].
104 Voir conclusions de l’avocat général Cruz Villalón dans les affaires jointes Digital Rights Ireland e.a. (C‑293/12 et C‑594/12, EU:C:2013:845, point 149), concernant, dans un autre contexte juridique, la proportionnalité de la durée de conservation de données.
105 Voir, à cet égard, Dellaux, J., « La réglementation de la lutte contre le dopage à l’aune de la jurisprudence de la Cour européenne des droits de l’homme, ou quand la pratique sportive justifie des restrictions importantes au droit au respect de la vie privée », Revue trimestrielle des droits de l’homme, Anthémis, no 116, 2018, en particulier p. 899 et 900.
106 Voir Delforges, A., « Titre 8 – Les obligations générales du responsable du traitement et la place du sous-traitant », dans Le règlement général sur la protection des données (RGPD/GDPR), Larcier, Bruxelles, 2018 (1re éd.), p. 371 à 406.
107 Voir, à cet égard, avis 4/2009 (point 3.6 sur les sanctions), qui préconise par exemple de prendre en compte notamment la gravité de la violation antidopage, le nombre d’infractions constatées, le niveau auquel concourt le sportif et la médiatisation éventuelle de l’affaire.
108 Voir arrêts du 12 janvier 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, ci-après l’« arrêt Nemzeti Adatvédelmi és Információszabadság Hatóság », EU:C:2023:2, point 32), et du 9 janvier 2025, Österreichische Datenschutzbehörde (Demandes excessives) (C‑416/23, EU:C:2025:3, point 24).
109 Voir, en ce sens, Spiecker gen. Döhmann, I., et al., General Data Protection Regulation : Article-by-Article Commentary, Nomos – Beck – Hart, 2023, en particulier p. 1010 à 1017.
110 Certes, comme le soulignent les gouvernements autrichien et finlandais, le point 47 de l’arrêt Lindenapotheke indique que « le chapitre VIII du RGPD régit, notamment, les voies de recours permettant de protéger les droits de la personne concernée lorsque les données à caractère personnel la concernant ont fait l’objet d’un traitement prétendument contraire aux dispositions de ce règlement » (mise en italique par mes soins). Cela étant, le terme « notamment » m’amène à relativiser cet argument, d’autant que la question d’un traitement qui n’avait pas encore eu lieu n’était aucunement en cause dans cette affaire.
111 Voir arrêt du 7 décembre 2023, SCHUFA Holding (Libération de reliquat de dette) (C‑26/22 et C‑64/22, ci-après l’« arrêt SCHUFA Holding », EU:C:2023:958, point 56 et jurisprudence citée).
112 Voir arrêt SCHUFA Holding (point 68 et jurisprudence citée).
113 Voir, également, arrêt du 4 septembre 2025, Quirin Privatbank (C‑655/23, EU:C:2025:655, points 43 à 50), à propos de la possibilité d’empêcher la réitération d’un traitement illicite de données à caractère personnel. Voir, en outre, demande de décision préjudicielle émanant de l’Oberlandsgericht Wien (Autriche) dans l’affaire CRIF (C‑40/25), pendante au moment de la rédaction des présentes conclusions, concernant la possibilité d’exiger du responsable du traitement qu’il s’abstienne de toute nouvelle transmission illicite de données à caractère personnel.
114 Voir arrêts SCHUFA Holding (point 58) et du 26 septembre 2024, Land Hessen (Obligation d’agir de l’autorité de protection des données) (C‑768/21, EU:C:2024:785, point 35). Voir, également, conclusions de l’avocat général Pikamäe dans les affaires jointes SCHUFA Holding (Libération de reliquat de dette) (C‑26/22 et C‑64/22, EU:C:2023:222, point 40).
115 Voir, dans le contexte comparable de la directive 2016/680, arrêt du 4 octobre 2024, Bezirkshauptmannschaft Landeck (Tentative d’accès aux données personnelles stockées sur un téléphone portable) (C‑548/21, EU:C:2024:830, points 69 à 77), où la Cour a jugé qu’une tentative de traitement est déjà un traitement de données.
116 Voir, en ce sens, arrêt du 11 juillet 2024, Meta Platforms Ireland (Action représentative) (C‑757/22, EU:C:2024:598, point 44). Une réclamation ayant pour objet l’obligation d’information prévue à l’article 12 du RGPD ou le droit d’accès prévu à l’article 15 de ce règlement serait par exemple recevable avant le début d’un traitement de données [voir, en ce sens, arrêt du 11 juillet 2024, Meta Platforms Ireland (Action représentative) (C‑757/22, EU:C:2024:598, point 45)].
117 Il est envisageable que l’auteur de la réclamation puisse, dans ce cas, réclamer à l’autorité de contrôle qu’elle avertisse le responsable du traitement ou qu’elle lui ordonne l’interdiction de publier les données à caractère personnel en invoquant par exemple l’illicéité du traitement. S’il est illicite, la personne concernée pourrait s’opposer à ce traitement effectué sans motif légitime impérieux sur le fondement de l’article 17, paragraphe 1, sous c), du RGPD. Toutefois, il ne semble pas que ces hypothèses soient celles de l’espèce.
118 Voir arrêt Nemzeti Adatvédelmi és Információszabadság Hatóság (point 34). Voir, également, conclusions de l’avocat général Richard de la Tour dans l’affaire D e.a. (Articulation des recours) (C‑414/24, EU:C:2025:656, point 46), concernant l’articulation entre réclamation administrative et recours juridictionnel.
119 Voir arrêt Nemzeti Adatvédelmi és Információszabadság Hatóság (point 41).
120 Voir arrêt SCHUFA Holding (point 53).
121 Voir arrêts Nemzeti Adatvédelmi és Információszabadság Hatóság (point 37) et Lindenapotheke (point 60).
122 Voir arrêt Nemzeti Adatvédelmi és Információszabadság Hatóság (points 45 et 57).
123 Voir arrêt Nemzeti Adatvédelmi és Információszabadság Hatóság (points 46, 48 et 51).