Arrêt de la Cour (grande chambre) du 14 juillet 2026.#AR e.a. contre Österreichische Datenschutzbehörde e.a.#Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement (UE) 2016/679 – Article 2 – Champ d’application matériel – Articles 5 et 6 – Principes relatifs au traitement et licéité de celui-ci – Article 9 – Notion de “données concernant la santé” – Article 10 – Notion de “données à caractère personnel relatives aux condamnations pénales et aux infractions” – Lutte contre le dopage dans le domaine du sport – Publication en ligne du nom d’une personne ayant violé les règles antidopage, de la durée de son interdiction de participation à des évènements sportifs et des raisons de cette interdiction – Mise en balance des intérêts – Proportionnalité – Article 77 – Droit d’introduire une réclamation auprès d’une autorité de contrôle lorsqu’une telle publication est imminente.#Affaire C-474/24.

ARRÊT DE LA COUR (grande chambre)

14 juillet 2026 (*)

« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement (UE) 2016/679 – Article 2 – Champ d’application matériel – Articles 5 et 6 – Principes relatifs au traitement et licéité de celui-ci – Article 9 – Notion de “données concernant la santé” – Article 10 – Notion de “données à caractère personnel relatives aux condamnations pénales et aux infractions” – Lutte contre le dopage dans le domaine du sport – Publication en ligne du nom d’une personne ayant violé les règles antidopage, de la durée de son interdiction de participation à des évènements sportifs et des raisons de cette interdiction – Mise en balance des intérêts – Proportionnalité – Article 77 – Droit d’introduire une réclamation auprès d’une autorité de contrôle lorsqu’une telle publication est imminente »

Dans l’affaire C‑474/24,

ayant pour objet une demande de décision préjudicielle au titre de l’article 267 TFUE, introduite par le Bundesverwaltungsgericht (tribunal administratif fédéral, Autriche), par décision du 28 juin 2024, parvenue à la Cour le 4 juillet 2024, dans la procédure

AR,

YT,

DI,

RN

en présence de :

Österreichische Datenschutzbehörde,

Nationale Anti-Doping Agentur Austria GmbH (NADA Austria),

Österreichische Anti-Doping Rechtskommission (ÖADR),

LA COUR (grande chambre),

composée de M. K. Lenaerts, président, M. T. von Danwitz, vice–président, MM. C. Lycourgos, I. Jarukaitis, M^me M. L. Arastey Sahún, MM. J. Passer (rapporteur), M. Condinanzi et F. Schalin, présidents de chambre, MM. E. Regan, N. Piçarra, A. Kumin, N. Jääskinen, B. Smulders, S. Gervasoni et N. Fenger, juges,

avocat général : M. D. Spielmann,

greffier : M^me R. Şereş, administratrice,

vu la procédure écrite et à la suite de l’audience du 13 mai 2025,

considérant les observations présentées :

– pour AR, YT, DI et RN, par M^e J. Öhlböck, Rechtsanwalt,

– pour l’Österreichische Datenschutzbehörde, par M. M. Schmidl et M^me E. Wagner, en qualité d’agents,

– pour Nationale Anti-Doping Agentur Austria GmbH (NADA Austria), par M^es T. Grünvaldska, A. Schütz, Rechtsanwälte, et M^e K. Van Quathem, advocaat,

– pour le gouvernement autrichien, par M^mes J. Schmoll et C. Gabauer, en qualité d’agents,

– pour le gouvernement letton, par M^mes J. Davidoviča, K. Pommere et M. S. Zellis, en qualité d’agents,

– pour le gouvernement néerlandais, par M^mes M. K. Bulterman et M. H. S. Gijzen, en qualité d’agents,

– pour le gouvernement polonais, par M. B. Majczyna, en qualité d’agent,

– pour le gouvernement finlandais, par M^me M. Pere, en qualité d’agent,

– pour la Commission européenne, par M. A. Bouchagiar, M^me M. Heller et M. H. Kranenborg, en qualité d’agents,

ayant entendu l’avocat général en ses conclusions à l’audience du 25 septembre 2025,

rend le présent

Arrêt

1 La demande de décision préjudicielle porte sur l’interprétation de l’article 16, paragraphe 2, première phrase, TFUE, de l’article 5, paragraphe 1, sous a) et c), de l’article 6, paragraphe 3, second alinéa, ainsi que des articles 9, 10, 17 et 77 du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, et rectificatif JO 2018, L 127, p. 2, ci‑après le « RGPD »).

2 Cette demande a été présentée dans le cadre d’un litige opposant les athlètes AR, YT, DI et RN à Nationale Anti-Doping Agentur Austria GmbH (NADA Austria) et à l’Österreichische Anti-Doping Rechtskommission (ÖADR) [commission juridique antidopage autrichienne (ÖADR)] au sujet de la publication sur Internet de plusieurs informations les concernant, relatives à des violations, par ces athlètes, de la réglementation autrichienne antidopage.

Le cadre juridique

Le CMA

3 Le code mondial antidopage, dans sa version en vigueur en 2021 (ci‑après le « CMA »), élaboré par l’Agence mondiale antidopage, est le texte de base en matière de lutte mondiale contre le dopage dans le sport, ainsi qu’il ressort de la déclaration de Copenhague du 5 mars 2003 contre le dopage dans le sport. Ce code est un instrument de nature privée que les États signataires à la convention internationale des Nations unies contre le dopage dans le sport, signée le 19 octobre 2005 à Paris et entrée en vigueur le 1^er février 2007, se sont engagés à respecter. Tant cette déclaration que cette convention ont été signées par l’intégralité des États membres de l’Union européenne.

4 L’article 2 du CMA énumère, à ses paragraphes 1 à 11, les catégories de violations des règles antidopage.

5 L’article 2, paragraphe 6, du CMA, qui se réfère à la possession, par un sportif ou un membre du personnel d’encadrement d’un sportif, d’une substance interdite ou d’une méthode interdite, lu en combinaison avec l’article 4, paragraphe 4, de celui-ci, autorise l’usage de certaines substances à des fins thérapeutiques.

6 L’article 14, paragraphe 3, point 2, du CMA impose aux organisations antidopage concernées de divulguer publiquement « le résultat de la procédure antidopage, y compris le sport, la règle antidopage violée, le nom du sportif ou de l’autre personne ayant commis la violation, la substance interdite ou la méthode interdite en cause (le cas échéant) et les conséquences imposées ».

Le droit de l’Union

Le traité FUE

7 L’article 16 TFUE prévoit :

« 1. Toute personne a droit à la protection des données à caractère personnel la concernant.

2. Le Parlement européen et le Conseil [de l’Union européenne], statuant conformément à la procédure législative ordinaire, fixent les règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union, ainsi que par les États membres dans l’exercice d’activités qui relèvent du champ d’application du droit de l’Union, et à la libre circulation de ces données. Le respect de ces règles est soumis au contrôle d’autorités indépendantes.

[...] »

8 L’article 165 TFUE dispose :

« [...]

2. L’action de l’Union vise :

[...]

– à développer la dimension européenne du sport, en promouvant l’équité et l’ouverture dans les compétitions sportives et la coopération entre les organismes responsables du sport, ainsi qu’en protégeant l’intégrité physique et morale des sportifs, notamment des plus jeunes d’entre eux.

[...]

4. Pour contribuer à la réalisation des objectifs visés au présent article :

[...]

– le Conseil adopte, sur proposition de la Commission [européenne], des recommandations. »

Le RGPD

9 Aux termes des considérants 10 à 12, 16, 35, 39, 51 et 112 du RGPD :

« (10) Afin d’assurer un niveau cohérent et élevé de protection des personnes physiques et de lever les obstacles aux flux de données à caractère personnel au sein de l’Union, le niveau de protection des droits et des libertés des personnes physiques à l’égard du traitement de ces données devrait être équivalent dans tous les États membres. Il convient dès lors d’assurer une application cohérente et homogène des règles de protection des libertés et droits fondamentaux des personnes physiques à l’égard du traitement des données à caractère personnel dans l’ensemble de l’Union. En ce qui concerne le traitement de données à caractère personnel nécessaire au respect d’une obligation légale, à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement, il y a lieu d’autoriser les États membres à maintenir ou à introduire des dispositions nationales destinées à préciser davantage l’application des règles du présent règlement. Parallèlement à la législation générale et horizontale relative à la protection des données mettant en œuvre la directive 95/46/CE [du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31)], il existe, dans les États membres, plusieurs législations sectorielles spécifiques dans des domaines qui requièrent des dispositions plus précises. Le présent règlement laisse aussi aux États membres une marge de manœuvre pour préciser ses règles, y compris en ce qui concerne le traitement de catégories particulières de données à caractère personnel (ci-après dénommées “données sensibles”). À cet égard, le présent règlement n’exclut pas que le droit des États membres précise les circonstances des situations particulières de traitement y compris en fixant de manière plus précise les conditions dans lesquelles le traitement de données à caractère personnel est licite.

(11) Une protection effective des données à caractère personnel dans l’ensemble de l’Union exige de renforcer et de préciser les droits des personnes concernées et les obligations de ceux qui effectuent et déterminent le traitement des données à caractère personnel, ainsi que de prévoir, dans les États membres, des pouvoirs équivalents de surveillance et de contrôle du respect des règles relatives à la protection des données à caractère personnel et des sanctions équivalentes pour les violations.

(12) L’article 16, paragraphe 2, [TFUE] donne mandat au Parlement européen et au Conseil pour fixer les règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel ainsi que les règles relatives à la libre circulation des données à caractère personnel.

[...]

(16) Le présent règlement ne s’applique pas à des questions de protection des libertés et droits fondamentaux ou de libre flux des données à caractère personnel concernant des activités qui ne relèvent pas du champ d’application du droit de l’Union, telles que les activités relatives à la sécurité nationale. Le présent règlement ne s’applique pas au traitement des données à caractère personnel par les États membres dans le contexte de leurs activités ayant trait à la politique étrangère et de sécurité commune de l’Union.

[...]

(35) Les données à caractère personnel concernant la santé devraient comprendre l’ensemble des données se rapportant à l’état de santé d’une personne concernée qui révèlent des informations sur l’état de santé physique ou mentale passé, présent ou futur de la personne concernée. Cela comprend des informations sur la personne physique collectées lors de l’inscription de cette personne physique en vue de bénéficier de services de soins de santé ou lors de la prestation de ces services au sens de la directive 2011/24/UE du Parlement européen et du Conseil[, du 9 mars 2011, relative à l’application des droits des patients en matière de soins de santé transfrontaliers (JO 2011, L 88, p. 45),] au bénéfice de cette personne physique ; un numéro, un symbole ou un élément spécifique attribué à une personne physique pour l’identifier de manière unique à des fins de santé ; des informations obtenues lors du test ou de l’examen d’une partie du corps ou d’une substance corporelle, y compris à partir de données génétiques et d’échantillons biologiques ; et toute information concernant, par exemple, une maladie, un handicap, un risque de maladie, les antécédents médicaux, un traitement clinique ou l’état physiologique ou biomédical de la personne concernée, indépendamment de sa source, qu’elle provienne par exemple d’un médecin ou d’un autre professionnel de la santé, d’un hôpital, d’un dispositif médical ou d’un test de diagnostic in vitro.

[...]

(39) Tout traitement de données à caractère personnel devrait être licite et loyal. [...] Les données à caractère personnel devraient être adéquates, pertinentes et limitées à ce qui est nécessaire pour les finalités pour lesquelles elles sont traitées. Cela exige, notamment, de garantir que la durée de conservation des données soit limitée au strict minimum. Les données à caractère personnel ne devraient être traitées que si la finalité du traitement ne peut être raisonnablement atteinte par d’autres moyens. Afin de garantir que les données ne sont pas conservées plus longtemps que nécessaire, des délais devraient être fixés par le responsable du traitement pour leur effacement ou pour un examen périodique. [...]

[...]

(51) Les données à caractère personnel qui sont, par nature, particulièrement sensibles du point de vue des libertés et des droits fondamentaux méritent une protection spécifique, car le contexte dans lequel elles sont traitées pourrait engendrer des risques importants pour ces libertés et droits. [...] De telles données à caractère personnel ne devraient pas faire l’objet d’un traitement, à moins que celui-ci ne soit autorisé dans des cas spécifiques prévus par le présent règlement, compte tenu du fait que le droit d’un État membre peut prévoir des dispositions spécifiques relatives à la protection des données visant à adapter l’application des règles du présent règlement en vue de respecter une obligation légale ou pour l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement. Outre les exigences spécifiques applicables à ce traitement, les principes généraux et les autres règles du présent règlement devraient s’appliquer, en particulier en ce qui concerne les conditions de licéité du traitement. Des dérogations à l’interdiction générale de traiter ces catégories particulières de données à caractère personnel devraient être explicitement prévues, entre autres lorsque la personne concernée donne son consentement explicite ou pour répondre à des besoins spécifiques, en particulier lorsque le traitement est effectué dans le cadre d’activités légitimes de certaines associations ou fondations ayant pour objet de permettre l’exercice des libertés fondamentales.

[...]

(112) Ces dérogations devraient s’appliquer en particulier aux transferts de données requis et nécessaires pour des motifs importants d’intérêt public, par exemple en cas d’échange international de données entre autorités de la concurrence, administrations fiscales ou douanières, entre autorités de surveillance financière, entre services chargés des questions de sécurité sociale ou relatives à la santé publique, par exemple aux fins de la recherche des contacts des personnes atteintes de maladies contagieuses ou en vue de réduire et/ou d’éliminer le dopage dans le sport. [...] »

10 L’article 2 du RGPD, intitulé « Champ d’application matériel », dispose :

« 1. Le présent règlement s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier.

2. Le présent règlement ne s’applique pas au traitement de données à caractère personnel effectué :

a) dans le cadre d’une activité qui ne relève pas du champ d’application du droit de l’Union ;

[...] »

11 L’article 4 du RGPD, intitulé « Définitions », prévoit :

« Aux fins du présent règlement, on entend par :

1) “données à caractère personnel”, toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée “personne concernée”) ; est réputée être une “personne physique identifiable” une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ;

2) “traitement”, toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction ;

[...]

15) “données concernant la santé”, les données à caractère personnel relatives à la santé physique ou mentale d’une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l’état de santé de cette personne ;

[...] »

12 L’article 5 du RGPD, intitulé « Principes relatifs au traitement des données à caractère personnel », est libellé comme suit :

« 1. Les données à caractère personnel doivent être :

a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ;

[...]

c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ;

[...] »

13 L’article 6 du RGPD, intitulé « Licéité du traitement », énonce :

« 1. Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :

[...]

c) le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ;

[...]

e) le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ;

[...]

3. Le fondement du traitement visé au paragraphe 1, points c) et e), est défini par :

a) le droit de l’Union ; ou

b) le droit de l’État membre auquel le responsable du traitement est soumis.

Les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe 1, point e), sont nécessaires à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement. Cette base juridique peut contenir des dispositions spécifiques pour adapter l’application des règles du présent règlement, entre autres : les conditions générales régissant la licéité du traitement par le responsable du traitement ; les types de données qui font l’objet du traitement ; les personnes concernées ; les entités auxquelles les données à caractère personnel peuvent être communiquées et les finalités pour lesquelles elles peuvent l’être ; la limitation des finalités ; les durées de conservation ; et les opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que celles prévues dans d’autres situations particulières de traitement comme le prévoit le chapitre IX. Le droit de l’Union ou le droit des États membres répond à un objectif d’intérêt public et est proportionné à l’objectif légitime poursuivi.

[...] »

14 L’article 9 du RGPD, intitulé « Traitement portant sur des catégories particulières de données à caractère personnel », dispose :

« 1. Le traitement des données à caractère personnel qui révèle l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique sont interdits.

2. Le paragraphe 1 ne s’applique pas si l’une des conditions suivantes est remplie :

a) la personne concernée a donné son consentement explicite au traitement de ces données à caractère personnel pour une ou plusieurs finalités spécifiques, sauf lorsque le droit de l’Union ou le droit de l’État membre prévoit que l’interdiction visée au paragraphe 1 ne peut pas être levée par la personne concernée ;

[...]

g) le traitement est nécessaire pour des motifs d’intérêt public important, sur la base du droit de l’Union ou du droit d’un État membre qui doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée ;

[...]

i) le traitement est nécessaire pour des motifs d’intérêt public dans le domaine de la santé publique, tels que la protection contre les menaces transfrontalières graves pesant sur la santé, ou aux fins de garantir des normes élevées de qualité et de sécurité des soins de santé et des médicaments ou des dispositifs médicaux, sur la base du droit de l’Union ou du droit de l’État membre qui prévoit des mesures appropriées et spécifiques pour la sauvegarde des droits et libertés de la personne concernée, notamment le secret professionnel ;

[...] »

15 L’article 10 du RGPD, intitulé « Traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions », prévoit :

« Le traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes fondé sur l’article 6, paragraphe 1, ne peut être effectué que sous le contrôle de l’autorité publique, ou si le traitement est autorisé par le droit de l’Union ou par le droit d’un État membre qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées. Tout registre complet des condamnations pénales ne peut être tenu que sous le contrôle de l’autorité publique. »

16 L’article 17 du RGPD, intitulé « Droit à l’effacement (“droit à l’oubli”) », dispose :

1. La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais, lorsque l’un des motifs suivants s’applique :

[...]

3. Les paragraphes 1 et 2 ne s’appliquent pas dans la mesure où ce traitement est nécessaire :

[...]

b) pour respecter une obligation légale qui requiert le traitement prévue par le droit de l’Union ou par le droit de l’État membre auquel le responsable du traitement est soumis, ou pour exécuter une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ;

[...] »

17 Le chapitre V du RGPD, intitulé « Transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales », comporte les articles 44 à 50 de celui-ci.

18 L’article 57 du RGPD, intitulé « Missions », énonce, à son paragraphe 1 :

« Sans préjudice des autres missions prévues au titre du présent règlement, chaque autorité de contrôle, sur son territoire :

[...]

f) traite les réclamations introduites par une personne concernée ou par un organisme, une organisation ou une association, conformément à l’article 80, examine l’objet de la réclamation, dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable, notamment si un complément d’enquête ou une coordination avec une autre autorité de contrôle est nécessaire ;

[...] »

19 L’article 58 du RGPD, intitulé « Pouvoirs », énumère, à son paragraphe 1, les pouvoirs d’enquête dont dispose chaque autorité de contrôle, alors que son paragraphe 2 prévoit :

« Chaque autorité de contrôle dispose du pouvoir d’adopter toutes les mesures correctrices suivantes :

a) avertir un responsable du traitement ou un sous-traitant du fait que les opérations de traitement envisagées sont susceptibles de violer les dispositions du présent règlement ;

[...] »

20 L’article 77 du RGPD, intitulé « Droit d’introduire une réclamation auprès d’une autorité de contrôle », dispose :

« 1. Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement.

2. L’autorité de contrôle auprès de laquelle la réclamation a été introduite informe l’auteur de la réclamation de l’état d’avancement et de l’issue de la réclamation, y compris de la possibilité d’un recours juridictionnel en vertu de l’article 78. »

21 L’article 78 du RGPD, intitulé « Droit à un recours juridictionnel effectif contre une autorité de contrôle », énonce, à son paragraphe 1 :

« Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne physique ou morale a le droit de former un recours juridictionnel effectif contre une décision juridiquement contraignante d’une autorité de contrôle qui la concerne. »

Le droit autrichien

22 L’article 1^er de l’Anti-Doping-Bundesgesetz 2021 (loi fédérale relative à l’antidopage 2021), du 23 décembre 2020 (BGBl. I, 152/2020, ci-après l’« ADBG »), intitulé « Objectifs et violation des règles antidopage », dispose, à son paragraphe 1, que, « du fait qu’il influence les aptitudes sportives, le dopage est contraire au principe d’équité en compétition sportive ainsi qu’à la véritable valeur intrinsèque du sport (l’esprit sportif) et présente de surcroît des risques pour la santé ».

23 L’article 5 de l’ADBG, intitulé « Organisme indépendant de contrôle du dopage », prévoit, à son paragraphe 1, que cet organisme a, entre autres, pour mission d’introduire des demandes d’examen, conformément à l’article 18 de l’ADBG, devant l’ÖADR lorsqu’il estime que l’ADBG a été violé, et d’exercer la qualité de partie dans les procédures devant cette dernière ainsi que devant l’Unabhängige Schiedskommission (commission d’arbitrage indépendante, Autriche) (ci-après l’« USK »), conformément à l’article 20, paragraphe 2, et à l’article 23, paragraphe 2, de l’ADBG.

24 L’article 5 de l’ADBG dispose, à ses paragraphes 5 et 6 :

« (5) Il existe, pour exécuter les fonctions d’organisme indépendant de contrôle du dopage, une société d’utilité publique à responsabilité limitée dont la raison sociale est “Nationale Anti-Doping Agentur Austria GmbH” et dont l’abréviation est “NADA Austria” [(ci-après “NADA”)]. [...] En tant que responsable du traitement, au sens de l’article 4, point 7, du RGPD, [NADA] traite des données à caractère personnel.

(6) L’organisme indépendant de contrôle du dopage doit informer l’Österreichische Bundes-Sportorganisation (BSO) [organisation fédérale du sport autrichienne (BSO), Autriche], les organisations sportives, les sportifs, les autres personnes et les organisateurs de compétitions des éléments suivants, en complément de l’article 3, et les mettre gratuitement à la disposition du grand public :

1. les organismes habilités à ordonner des contrôles antidopage ;

2. les critères d’inclusion dans le pool de test national (article 9) ;

3. le remboursement des frais de la procédure de contrôle antidopage ;

4. sans préjudice des dispositions de l’article 21, paragraphe 3, et de l’article 23, paragraphe 14, les mesures conservatoires (par exemple, les suspensions) et les interdictions visant les sportifs et d’autres personnes, qui ont été portées à l’attention de l’organisme indépendant de contrôle du dopage, et leur levée, en indiquant le nom des personnes concernées, la durée de l’interdiction et les motifs de celle-ci, sans qu’il soit possible de remonter à des catégories particulières de données à caractère personnel des personnes concernées, notamment des données relatives à la santé. Cette information peut être omise pour les personnes particulièrement vulnérables et les sportifs amateurs. Une divulgation concernant les sportifs amateurs intervient pour des raisons de santé publique lorsqu’une violation des règles antidopage a été constatée conformément à l’article 1^er, paragraphe 2, point 3 ainsi que points 9 à 11.

5. les données, notamment les données à caractère personnel et les catégories particulières de données à caractère personnel, qui font l’objet d’un traitement et les fins auxquelles elles sont traitées dans le cadre de l’action antidopage ou d’une procédure de contrôle antidopage. »

25 L’article 6 de l’ADBG, intitulé « Dispositions légales relatives à la protection des données », prévoit :

« (1) L’organisme indépendant de contrôle du dopage est habilité, en tant que responsable du traitement conformément à l’article 4, point 7, du RGPD, dans la mesure où cela est nécessaire à l’exercice des missions qui lui incombent en vertu de la présente loi fédérale et aux fins de l’application de celle-ci, en particulier dans le cadre des missions de [l’ÖADR] et de [l’USK], à traiter des données à caractère personnel. [...]

(2) L’organisme indépendant de contrôle du dopage veille notamment à la sécurité des données à caractère personnel et des catégories particulières de données à caractère personnel, conformément aux articles 32 à 34 du RGPD. La nécessité de traiter les données découle de la mise en œuvre effective des règles antidopage du [CMA] et des dispositions de la présente loi fédérale, dans la mesure où les personnes concernées se sont engagées contractuellement à respecter le CMA. Des catégories spéciales de données à caractère personnel, notamment les données relatives à la santé, ne peuvent être traitées que dans la mesure où cela est strictement nécessaire en vertu des dispositions antidopage de la présente loi fédérale ou du CMA.

[...] »

26 L’article 7 de l’ADBG, intitulé « [ÖADR] », énonce, à son paragraphe 1 :

« [L’ÖADR] est une commission indépendante des organes gouvernementaux, des particuliers et de l’organisme indépendant de contrôle du dopage. Les membres de l’ÖADR ne doivent avoir participé ni à l’enquête visant un sportif ni à la décision d’introduire une demande de contrôle d’un sportif ou d’une autre personne, ni à l’examen de la décision de l’ÖADR par [l’USK] conformément à l’article 8. Elle doit mener des procédures disciplinaires pour la fédération sportive fédérale respectivement compétente conformément aux règles antidopage en vigueur de la fédération sportive internationale compétente (procédure antidopage). »

27 L’article 8 de l’ADBG, intitulé « [USK] », dispose, à son paragraphe 1 :

« [L’USK] est une commission indépendante des organes gouvernementaux, des particuliers et de l’organisme indépendant de contrôle du dopage. Les membres de l’USK ne doivent avoir participé ni à l’enquête visant un sportif ou une autre personne, ni à la décision relative à l’introduction d’une demande d’examen visant un sportif ou une autre personne, ni à la décision, soumise à leur examen, de l’ÖADR elle-même. Sans préjudice des dispositions de l’article 23, paragraphe 10, points 1 et 2, elle est instituée auprès de l’organisme indépendant de contrôle du dopage pour examiner les décisions de l’ÖADR dans les procédures antidopage. »

28 L’article 12 de l’ADBG, intitulé « Exemptions médicales », réglemente la procédure aux fins de la délivrance d’autorisations d’usage de substances interdites à des fins thérapeutiques.

29 L’article 20 de l’ADBG, intitulé « Procédure devant [l’ÖADR] », dispose, en substance, que l’ÖADR est compétente pour mener des procédures antidopage à la suite de demandes d’examen introduites par l’organisme indépendant de contrôle du dopage et pour adopter des décisions en première instance en cas de violation des règles antidopage de la fédération sportive internationale compétente.

30 L’article 21 de l’ADBG, intitulé « Autres dispositions régissant la procédure », prévoit, à son paragraphe 3 :

« L’ÖADR doit, au plus tard 20 jours après que la décision est devenue définitive, informer la BSO, les organisations sportives, les sportifs, les autres personnes et les organisateurs de compétitions, ainsi que le grand public, des mesures de sûreté imposées (par exemple, des suspensions) et des décisions prises dans le cadre de procédures antidopage, en indiquant le nom de la personne concernée, la durée de l’interdiction et les motifs de celle-ci, sans qu’il soit possible de remonter aux données concernant la santé de cette personne. Cette information peut être omise dans le cas des personnes particulièrement vulnérables, des sportifs amateurs et des personnes ayant contribué de manière significative à la détection de violations potentielles des règles antidopage en communiquant des informations ou d’autres indications. Dans le cas des sportifs amateurs, il est procédé à une divulgation pour des raisons de santé publique lorsqu’une violation des règles antidopage a été constatée conformément à l’article 1^er, paragraphe 2, point 3 et points 9 à 11. »

31 L’article 23 de l’ADBG, intitulé « Procédure devant [l’USK] », énonce, à son paragraphe 14 :

« L’USK informe la BSO, les organisations sportives, les sportifs, les autres personnes et les organisateurs de compétitions ainsi que le grand public de ses décisions, en indiquant le nom de la personne concernée, la durée de l’interdiction et les motifs de celle-ci, sans qu’il soit possible de remonter aux données concernant la santé de cette personne. Cette information peut être omise dans le cas des personnes particulièrement vulnérables, des sportifs amateurs et des personnes ayant contribué de manière significative à la détection de violations potentielles des règles antidopage en communiquant des informations ou d’autres indications. Dans le cas des sportifs amateurs, il est procédé à une divulgation pour des raisons de santé publique lorsqu’une violation des règles antidopage a été constatée conformément à l’article 1^er, paragraphe 2, point 3, et points 9 à 11. »

32 L’article 24 de l’ADBG, intitulé « Obligations particulières de l’organisation sportive », dispose, en substance, à son paragraphe 4, que les organisations sportives ne peuvent pas employer des personnes visées par une interdiction en vertu des règles antidopage.

Le litige au principal et les questions préjudicielles

33 AR, YT, DI et RN, quatre athlètes, ont fait l’objet de décisions d’interdiction de participation aux compétitions respectivement pour une période déterminée ou à vie, prises soit par l’ÖADR, au terme des procédures antidopage qu’elle avait conduites, soit par l’USK, compétente pour réexaminer les décisions de l’ÖADR.

34 En vertu de la législation autrichienne en matière d’antidopage, les interdictions décidées par l’ÖADR ou l’USK sont publiées sous forme de liste par NADA sur son site Internet. Cette liste comprend le prénom et le nom du sportif concerné, la discipline sportive pratiquée, la violation des règles antidopage commise, la sanction infligée ainsi que le début et la fin de celle-ci. L’ÖADR publie également ces données sur son propre site Internet, dans la rubrique « Communiqués de presse ».

35 Au mois d’octobre 2021, les requérants au principal ont demandé à l’ÖADR et à NADA de supprimer de ces sites Internet la mention de leurs noms et des sports concernés.

36 L’ÖADR et NADA n’ayant pas donné suite aux demandes des requérants au principal, ceux-ci ont saisi l’Österreichische Datenschutzbehörde (autorité autrichienne de protection des données) d’une réclamation en application de l’article 77, paragraphe 1, du RGPD, visant à faire constater une violation du droit à l’effacement, prévu à l’article 17 de ce règlement, et à ordonner à l’ÖADR et à NADA de supprimer cette mention desdits sites Internet. Ils ont fait valoir qu’il s’agissait d’une catégorie particulière de données à caractère personnel, au sens de l’article 9 dudit règlement, ainsi que d’un traitement de données à caractère personnel relatives aux condamnations pénales et aux infractions, au sens de l’article 10 du même règlement. Le régime indifférencié de publication prévu en droit autrichien serait incompatible avec l’article 6, paragraphe 3, du RGPD et ne serait ni nécessaire ni proportionné.

37 Par une décision du 26 novembre 2021, l’autorité autrichienne de protection des données a rejeté la réclamation de AR, de DI et de RN comme étant non fondée. Cette autorité a estimé, notamment, que la publication des données en question était nécessaire pour respecter une obligation légale prévue par la réglementation relative à l’antidopage et que, partant, un droit à l’effacement était exclu en application de l’article 17, paragraphe 3, sous b), du RGPD. Quant à la réclamation de YT, ladite autorité l’a rejetée pour défaut d’intérêt à agir, au motif que ses données n’avaient pas encore été publiées.

38 Les requérants au principal ont introduit, sur le fondement de l’article 78, paragraphe 1, du RGPD, un recours contre cette décision devant le Bundesverwaltungsgericht (tribunal administratif fédéral, Autriche), qui est la juridiction de renvoi. Dans le cadre de ce recours, ils ont, en substance, réitéré les arguments qu’ils avaient présentés lors de la procédure administrative. En outre, YT a invoqué le fait qu’une suspension de quatre ans lui avait été infligée par la décision de l’ÖADR et qu’une publication de ses données était donc imminente. NADA a fait notamment valoir que la publication des données à caractère personnel concernées sur son site Internet était licite, dès lors qu’elle était nécessaire « au respect d’une obligation légale » à laquelle elle était soumise et à « l’exécution d’une mission d’intérêt public », au sens de l’article 6, paragraphe 1, premier alinéa, sous c) et e), du RGPD. Partant, conformément à l’article 17, paragraphe 3, sous b), de ce règlement, elle ne serait pas tenue d’effacer ces données de son site Internet.

39 La juridiction de renvoi a suspendu la procédure au principal en raison de l’introduction, par l’USK, de la demande de décision préjudicielle dans l’affaire ayant donné lieu à l’arrêt du 7 mai 2024, NADA e.a. (C‑115/22, EU:C:2024:384). Après que cette demande a été déclarée irrecevable, la procédure nationale devant cette juridiction a repris son cours.

40 Dans ces conditions, le Bundesverwaltungsgericht (tribunal administratif fédéral) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :

« 1) Les traitements des données de personnes par lesquels leurs noms, la discipline sportive pratiquée, la violation des règles antidopage commise, la sanction [prononcée] ainsi que le début et la fin de la sanction sont publiés sur la partie accessible au public du site Internet de [NADA] https://www.nada.at/de/recht/suspendierungen-sperren, sous la forme d’une inscription dans un tableau, ainsi que dans des communiqués de presse de l’[ÖADR] accessibles au public à l’adresse https://www.oeadr.at, relèvent-ils du champ d’application du droit de l’Union au sens de l’article 16, paragraphe 2, première phrase, TFUE, de sorte que le [RGPD] s’applique à de tel[s] traitement[s] de données à caractère personnel ?

En cas de réponse affirmative à la première question :

2) L’information selon laquelle une personne déterminée a commis une violation spécifique des règles antidopage et fait l’objet d’une interdiction de participation à des compétitions (nationales et internationales) en raison de cette violation est-elle une “donnée concernant la santé” au sens de l’article 9 du RGPD ?

3) Le RGPD s’oppose-t-il – notamment au regard de son article 6, paragraphe 3, [second] alinéa – à une réglementation nationale qui prévoit la publication du nom des personnes concernées par la décision de [l’ÖADR] ou de [l’USK] ainsi que de la durée de l’interdiction et des motifs de celle-ci, sans qu’il soit possible de remonter aux données relatives à la santé de la personne concernée ? Le fait que la réglementation nationale prévoit que la publication de ces informations à l’intention du grand public ne peut être omise que si la personne concernée est un sportif amateur, un mineur ou une personne ayant contribué de manière significative à la détection de violations potentielles des règles antidopage en communiquant des informations ou d’autres indications a-t-il une incidence à cet égard ?

4) Le RGPD exige-t-il – notamment au regard des principes visés à son article 5, paragraphe 1, sous a) et c) – en tout état de cause avant la publication, une mise en balance des intérêts personnels du particulier concerné susceptibles d’être affectés par une publication, d’une part, et de l’intérêt du public à être informé de la violation des règles antidopage commise par un sportif, d’autre part ?

5) L’information selon laquelle une personne déterminée a commis une violation spécifique des règles antidopage et est interdite de participation à des compétitions (nationales et internationales) en raison de cette violation constitue-t-elle un traitement de données à caractère personnel relatives aux condamnations pénales et aux infractions au sens de l’article 10 du RGPD ?

En cas de réponse affirmative à la cinquième question :

6) Les activités ou les décisions d’une autorité à laquelle le contrôle du traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes ont été confiées conformément à l’article 10 du RGPD, sont-elles soumises à un contrôle juridictionnel ?

7) Une réclamation au titre de l’article 77 du RGPD concernant une violation alléguée de l’article 17 du RGPD, alors qu’il n’y avait pas encore de traitement de données à caractère personnel de la personne concernée au moment de l’introduction de la réclamation auprès de l’autorité de contrôle et que cette dernière a pris une décision, mais que le traitement a eu lieu au cours de la procédure devant la juridiction d’appel, est-elle recevable ou devient-elle recevable a posteriori si, au moment de l’introduction de la réclamation, il existe déjà des indices concrets qu’un traitement de données à caractère personnel par le responsable du traitement est imminent ou aura lieu dans un avenir proche ? »

Sur les questions préjudicielles

Sur la première question

41 Par sa première question, la juridiction de renvoi demande, en substance, si l’article 2, paragraphe 2, sous a), du RGPD, lu en combinaison avec l’article 16, paragraphe 2, première phrase, TFUE, doit être interprété en ce sens que relève du champ d’application du droit de l’Union, et ainsi de celui de ce règlement, un traitement de données à caractère personnel consistant à publier, en application de règles nationales antidopage, les noms des sportifs sanctionnés en raison d’une violation de ces règles, la discipline sportive pratiquée par ceux-ci, la violation desdites règles commise, la sanction prononcée à l’égard de ces sportifs ainsi que le début et la fin de cette sanction.

42 Il est constant que ces informations relatives aux personnes sanctionnées pour infraction aux règles nationales antidopage, dès lors qu’elles se rapportent à des personnes physiques identifiées, sont des « données à caractère personnel », au sens de l’article 4, point 1, du RGPD, et que leur publication sur les sites Internet de NADA et de l’ÖADR, en charge de constater et de sanctionner de telles infractions, constitue un « traitement », au sens de l’article 4, point 2, de ce règlement.

43 Une telle publication relève de la définition très large du champ d’application matériel du RGPD, telle qu’elle est énoncée à son article 2, paragraphe 1 [arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 61].

44 La juridiction de renvoi s’interroge toutefois sur le point de savoir si, dans la mesure où le traitement de données à caractère personnel en cause au principal s’inscrit dans le cadre de la lutte antidopage, il est exclu de ce champ d’application en vertu de l’exception prévue à cet article 2, paragraphe 2, sous a), qui précise que ce règlement ne s’applique pas au traitement de données à caractère personnel effectué « dans le cadre d’une activité qui ne relève pas du champ d’application du droit de l’Union ».

45 Cette exception constitue une mise en œuvre de l’article 16, paragraphe 2, première phrase, TFUE, qui est la base juridique du RGPD et qui donne mandat au Parlement et au Conseil de fixer non seulement les règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel effectué notamment « par les États membres dans l’exercice d’activités qui relèvent du champ d’application du droit de l’Union », mais également les règles relatives à la libre circulation de ces données.

46 Il ressort de la jurisprudence de la Cour que l’exception au champ d’application matériel du RGPD prévue à l’article 2, paragraphe 2, sous a), de ce règlement doit, à l’instar des autres exceptions limitativement énumérées à l’article 2, paragraphe 2, de celui-ci, recevoir une interprétation stricte [voir, en ce sens, arrêts du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 62 et jurisprudence citée, ainsi que du 16 janvier 2024, Österreichische Datenschutzbehörde, C‑33/22, EU:C:2024:46, point 37].

47 Dans ce contexte, la Cour a déjà eu l’occasion de préciser que l’article 2, paragraphe 2, sous a), dudit règlement, lu à la lumière du considérant 16 du même règlement, a pour seul objet d’exclure du champ d’application de celui-ci les traitements de données à caractère personnel effectués par les autorités étatiques dans le cadre d’une activité qui vise à préserver la sécurité nationale ou d’une activité pouvant être rangée dans la même catégorie [arrêts du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 66, et du 16 janvier 2024, Österreichische Datenschutzbehörde, C‑33/22, EU:C:2024:46, point 37].

48 Or, la publication des données à caractère personnel visées au point 41 du présent arrêt, que NADA et l’ÖADR effectuent sur leurs sites Internet dans le cadre de leur activité de lutte antidopage, ne constitue pas un tel traitement qui relèverait de l’article 2, paragraphe 2, sous a), du RGPD.

49 Il convient ainsi de constater, à l’instar de M. l’avocat général au point 45 de ses conclusions, que l’exception au champ d’application du RGPD prévue à l’article 2, paragraphe 2, sous a), du RGPD n’est pas applicable à un traitement de données à caractère personnel tel que celui en cause au principal.

50 Par ailleurs, ainsi que M. l’avocat général l’a exposé aux points 46 à 59 de ses conclusions, cette constatation n’est pas susceptible d’être remise en cause par les arguments de NADA tirés, d’une part, de ce que la politique antidopage serait, en vertu de la répartition des compétences prévue par le droit de l’Union, du ressort des États membres, nonobstant la compétence d’appui prévue dans le domaine du sport à l’article 165 TFUE, et, d’autre part, de ce que la pratique du sport serait une activité dépourvue de caractère économique.

51 Ainsi, la circonstance qu’un traitement de données à caractère personnel soit effectué dans le cadre d’une activité relevant de la compétence des États membres n’a pas pour effet d’exclure ce traitement du champ d’application du RGPD en application de son article 2, paragraphe 2, sous a), pour autant que cette activité ne vise pas à préserver la sécurité nationale et ne puisse pas être rangée dans la même catégorie (voir, en ce sens, arrêt du 30 avril 2025, Inspektorat kam Visshia sadeben savet, C‑313/23, C‑316/23 et C‑332/23, EU:C:2025:303, point 104).

52 De même, le caractère prétendument non-économique de la pratique du sport n’a nullement pour effet de permettre de ranger cette activité dans la même catégorie que la préservation de la sécurité nationale, de sorte que ce caractère ne saurait faire relever l’activité en cause au principal de l’exception prévue à cette disposition et la soustraire ainsi du champ d’application du RGPD.

53 Cette conclusion est d’ailleurs corroborée par le considérant 112 du RGPD, qui se réfère explicitement à la possibilité, en application des dispositions figurant au chapitre V de ce règlement, de « transferts [vers des pays tiers ou à des organisations internationales] de données requis et nécessaires pour des motifs importants d’intérêt public, par exemple en cas d’échange international de données [...] en vue de réduire et/ou d’éliminer le dopage dans le sport ».

54 Eu égard aux considérations qui précèdent, il convient de répondre à la première question que l’article 2, paragraphe 2, sous a), du RGPD, lu en combinaison avec l’article 16, paragraphe 2, première phrase, TFUE, doit être interprété en ce sens que relève du champ d’application du droit de l’Union, et ainsi de celui de ce règlement, un traitement de données à caractère personnel consistant à publier, en application de règles nationales antidopage, les noms des sportifs sanctionnés en raison d’une violation de ces règles, la discipline sportive pratiquée par ceux‑ci, la violation desdites règles commise, la sanction prononcée à l’égard de ces sportifs ainsi que le début et la fin de cette sanction.

Sur la deuxième question

55 Par sa deuxième question, la juridiction de renvoi demande, en substance, si l’article 9 du RGPD doit être interprété en ce sens que l’information selon laquelle une personne déterminée a commis une violation spécifique des règles antidopage et est interdite de participer à des compétitions nationales et internationales en raison de cette violation relève de la notion de « données concernant la santé », au sens de cet article 9.

56 L’article 9 du RGPD, relatif, comme l’indique son intitulé, aux traitements portant sur des « catégories particulières » de données à caractère personnel, érige en principe l’interdiction de ces traitements. En effet, ainsi que l’énonce expressément le considérant 51 de ce règlement, les données à caractère personnel qui sont, par nature, particulièrement sensibles du point de vue des libertés et des droits fondamentaux méritent une protection spécifique, car le contexte dans lequel elles sont traitées pourrait engendrer des risques importants pour ces libertés et ces droits.

57 Au nombre de ces catégories particulières de données à caractère personnel, énumérées à l’article 9, paragraphe 1, du RGPD, figurent les « données concernant la santé ». Celles-ci comprennent, conformément à l’article 4, point 15, de ce règlement, lu à la lumière du considérant 35 dudit règlement, l’ensemble des données à caractère personnel qui révèlent des informations sur l’état de santé physique ou mentale passé, présent ou futur d’une personne physique, y compris des données relatives à la prestation de services de soins de santé à cette personne (arrêt du 4 octobre 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, point 76).

58 À cet égard, la Cour a déjà jugé que, au vu de l’objectif du RGPD, qui est de garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel les concernant, la notion de « données concernant la santé » visée à l’article 9, paragraphe 1, de ce règlement doit être interprétée de manière large (arrêt du 4 octobre 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, point 81 et jurisprudence citée).

59 En particulier, cette disposition ne saurait être interprétée en ce sens que le traitement de données à caractère personnel susceptibles de révéler, de manière indirecte, des informations sensibles concernant une personne physique est soustrait au régime de protection renforcé prévu par ladite disposition, sauf à porter atteinte à l’effet utile de ce régime et à la protection des libertés et des droits fondamentaux des personnes physiques qu’il vise à assurer (arrêt du 4 octobre 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, point 82 et jurisprudence citée).

60 Partant, pour que des données à caractère personnel puissent être qualifiées de « données concernant la santé », au sens de l’article 9, paragraphe 1, du RGPD, il suffit qu’elles soient de nature à révéler, par une opération intellectuelle de rapprochement ou de déduction, des informations sur l’état de santé de la personne concernée (arrêt du 4 octobre 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, point 83 et jurisprudence citée).

61 En l’occurrence, l’article 5, paragraphe 6, l’article 21, paragraphe 3, et l’article 23, paragraphe 14, de l’ADBG prévoient la divulgation au grand public des interdictions et des suspensions décidées par l’ÖADR ou l’USK et de leur levée, en indiquant le nom des personnes concernées, la durée de l’interdiction et les motifs de celle-ci, « sans qu’il soit possible de remonter aux données relatives à leur santé ».

62 Cela étant, il ressort de la demande de décision préjudicielle que l’ÖADR indique dans les communiqués de presse publiés sur son site Internet le nom de la substance interdite éventuellement en cause.

63 À cet égard, la juridiction de renvoi s’interroge sur la question de savoir si, notamment lorsque la publication d’une infraction à la réglementation antidopage mentionne le nom de la substance que la personne concernée a possédée ou a prise dans le but d’améliorer ses performances, de telles données peuvent être considérées comme étant des « données concernant la santé », au sens de l’article 9, paragraphe 1, du RGPD.

64 Selon la jurisprudence rappelée aux points 57 à 60 du présent arrêt, les données relatives aux personnes sanctionnées pour infraction aux règles nationales antidopage sont susceptibles d’être qualifiées de « données concernant la santé » lorsqu’elles sont de nature à révéler, même de manière indirecte, par une opération intellectuelle de rapprochement ou de déduction, des informations sur l’état de santé physique ou mentale passé, présent ou futur d’une personne physique.

65 Or, tel peut être le cas uniquement lorsque le nom ou la catégorie de la substance ou de la méthode interdite en cause est mentionné dans la publication concernée. En effet, en l’absence d’une telle mention, aucun élément de cette publication ne permet, en principe, de faire le lien entre le constat d’une infraction aux règles nationales antidopage, d’une part, et les informations sur l’état de santé de la personne concernée, d’autre part.

66 En outre, la seule mention du nom de la substance interdite présente dans l’organisme d’un sportif, telle qu’elle résulte de la pratique de l’ÖADR, est généralement insuffisante pour révéler des informations sur l’état de santé, même futur, de ce sportif.

67 En revanche, il ne saurait être exclu que, lorsqu’elle est combinée à d’autres éléments, la mention du nom ou de la catégorie de la substance ou de la méthode interdite en cause puisse, à tout le moins de manière indirecte, révéler, par une opération intellectuelle de rapprochement ou de déduction, des informations sur l’état de santé, le cas échéant futur, de la personne concernée.

68 Il en va notamment ainsi lorsque cette personne prend une substance ou utilise une méthode interdite en raison d’un état de santé particulier, mais n’a pas sollicité d’autorisation d’usage à des fins thérapeutiques au titre de la procédure prévue à l’article 12 de l’ADBG.

69 Il incombe à la juridiction de renvoi de vérifier, au regard de l’ensemble des circonstances caractérisant les publications en cause au principal, notamment celles effectuées par l’ÖADR et mentionnant le nom de la substance interdite en cause, si les informations publiées constituent des « données concernant la santé », au sens de l’article 4, point 15, et de l’article 9, paragraphe 1, du RGPD, lus à la lumière du considérant 35 de ce règlement.

70 Dans l’hypothèse où, au terme de cette vérification, la juridiction de renvoi aboutirait à la conclusion que les données en cause constituent effectivement des « données concernant la santé », au sens de l’article 9, paragraphe 1, du RGPD, leur publication serait en principe interdite, sous réserve toutefois des dérogations prévues à cet article 9, paragraphe 2, qui sont d’interprétation stricte [voir, en ce sens, arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C‑252/21, EU:C:2023:537, points 68 et 76].

71 Ainsi, à supposer que les informations en cause au principal constituent des « données concernant la santé », au sens de l’article 9, paragraphe 1, du RGPD, cette constatation ne fait pas obstacle, comme il ressort notamment du considérant 51 de ce dernier, à ce qu’elles puissent faire l’objet d’un traitement, si l’une des conditions énoncées à cet article 9, paragraphe 2, est remplie.

72 En l’absence d’un consentement explicite par les requérants au principal, conformément audit article 9, paragraphe 2, sous a), du RGPD, la publication de telles données sur le site Internet de l’ÖADR pourrait notamment être admissible sur le fondement de cet article 9, paragraphe 2, sous g), à condition qu’elle soit nécessaire pour des motifs d’intérêt public important, sur la base du droit de l’Union ou du droit autrichien qui doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée, ce qu’il appartient à la juridiction de renvoi de vérifier.

73 Il résulte de l’ensemble des considérations qui précèdent qu’il convient de répondre à la deuxième question que l’article 9 du RGPD doit être interprété en ce sens que l’information selon laquelle une personne déterminée a commis une violation spécifique des règles antidopage et est interdite de participer à des compétitions nationales et internationales en raison de cette violation ne relève pas, en principe, de la notion de « données concernant la santé », au sens de cet article 9. En revanche, il en va autrement lorsqu’une telle information mentionne le nom ou la catégorie de la substance ou de la méthode interdite concernée par ladite violation et que cette mention, combinée à d’autres informations concernant cette personne, est de nature à révéler, même de manière indirecte, par une opération intellectuelle de rapprochement ou de déduction, des informations sur l’état de santé physique ou mentale passé, présent ou futur de ladite personne.

Sur les troisième et quatrième questions

74 Par ses troisième et quatrième questions, qu’il y a lieu d’examiner conjointement, la juridiction de renvoi demande, en substance, si l’article 5, paragraphe 1, sous a) et c), et l’article 6, paragraphe 3, second alinéa, du RGPD doivent être interprétés en ce sens qu’ils s’opposent à une réglementation nationale imposant aux organismes nationaux antidopage une obligation de publier des données à caractère personnel concernant les sportifs sanctionnés en raison d’une violation des règles antidopage, telles que le nom des sportifs concernés, la durée de l’interdiction leur ayant été infligée et les motifs de celle-ci, à l’exception des sportifs amateurs, des personnes particulièrement vulnérables et des « lanceurs d’alerte ».

75 Elle demande, dans ce contexte, si ce règlement exige, avant la publication de ces données, une mise en balance au cas par cas des intérêts en présence par le responsable du traitement afin de vérifier la proportionnalité d’une telle publication au regard des circonstances individuelles ou s’il est suffisant à cet égard que le législateur national établisse de manière abstraite les situations dans lesquelles une publication peut ou doit être omise. Dans cette dernière hypothèse, elle s’interroge sur le point de savoir si les exceptions prévues par l’ADBG pour les situations dans lesquelles sont en cause des sportifs amateurs, des personnes particulièrement vulnérables ou des « lanceurs d’alerte » permettent d’assurer la proportionnalité des publications prévues par cette réglementation nationale.

76 À cet égard, il convient de rappeler que tout traitement de données à caractère personnel doit, d’une part, être conforme aux principes relatifs au traitement des données énoncés à l’article 5 du RGPD et, d’autre part, répondre à l’un des principes relatifs à la licéité du traitement énumérés à l’article 6, paragraphe 1, de ce règlement [arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 96].

77 S’agissant des principes relatifs au traitement des données à caractère personnel, la juridiction de renvoi se réfère spécifiquement à celui visé à cet article 5, paragraphe 1, sous a), selon lequel les données à caractère personnel doivent être traitées de manière licite, loyale et transparente au regard de la personne concernée, ainsi qu’au principe de la « minimisation des données » figurant audit article 5, paragraphe 1, sous c), selon lequel ces données doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées, et qui donne expression au principe de proportionnalité [arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 98].

78 En ce qui concerne les principes relatifs à la licéité du traitement, l’article 6, paragraphe 1, du RGPD prévoit une liste exhaustive et limitative des cas dans lesquels un traitement des données à caractère personnel peut être considéré comme étant licite. Ainsi, pour qu’il puisse être considéré comme étant légitime, un traitement doit relever de l’un des cas prévus à cet article 6, paragraphe 1 [arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 99 et jurisprudence citée].

79 À cet égard, ainsi que M. l’avocat général l’a souligné au point 139 de ses conclusions, le traitement des données à caractère personnel en cause au principal, à savoir la publication sur Internet des noms des sportifs sanctionnés en raison d’une violation des règles antidopage, de la durée de l’interdiction leur ayant été infligée et des motifs de celle-ci, effectué par NADA et l’ÖADR, résulte de l’article 5, paragraphe 6, point 4, et de l’article 21, paragraphe 3, de l’ADBG. Dès lors, il y a lieu de considérer que ce traitement est susceptible de relever de l’hypothèse visée à l’article 6, paragraphe 1, premier alinéa, sous c), du RGPD, en vertu duquel le traitement est licite si, et dans la mesure où, il est « nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ».

80 En outre, ce traitement est effectué en vue de lutter contre le dopage et donc dans l’exécution d’une mission d’intérêt public, qui correspond d’ailleurs aux objectifs que l’action de l’Union poursuit en vertu de l’article 165, paragraphe 2, dernier tiret, TFUE, à savoir notamment promouvoir l’équité dans les compétitions sportives et protéger l’intégrité physique et morale des sportifs. Partant, il peut également relever de la première hypothèse visée à l’article 6, paragraphe 1, premier alinéa, sous e), du RGPD, en vertu de laquelle le traitement est licite si, et dans la mesure où, il est « nécessaire à l’exécution d’une mission d’intérêt public ».

81 En ce qui concerne les traitements relevant des hypothèses de licéité énoncées à l’article 6, paragraphe 1, premier alinéa, sous c) et e), du RGPD, l’article 6, paragraphe 3, du RGPD prévoit notamment que le droit de l’Union ou le droit des États membres sur le fondement duquel ces traitements sont effectués doit répondre à un objectif d’intérêt public et être proportionné à l’objectif légitime poursuivi. La Cour a relevé que les exigences prévues à cette dernière disposition constituent une expression des exigences découlant de l’article 52, paragraphe 1, de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte »), de sorte qu’elles doivent être interprétées à la lumière, notamment, de cette dernière disposition (voir, en ce sens, arrêt du 1^er août 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, point 69).

82 À cet égard, il convient de rappeler que les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, garantis aux articles 7 et 8 de la Charte, ne sont pas des prérogatives absolues, mais doivent être pris en considération par rapport à leur fonction dans la société et être mis en balance avec d’autres droits fondamentaux. Des limitations peuvent ainsi être apportées, pourvu que, conformément à l’article 52, paragraphe 1, de la Charte, elles soient prévues par la loi et qu’elles respectent le contenu essentiel des droits fondamentaux ainsi que le principe de proportionnalité. En vertu de ce dernier principe, des limitations ne peuvent être apportées que si elles sont nécessaires et répondent effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection des droits et des libertés d’autrui. Elles doivent s’opérer dans les limites du strict nécessaire et la réglementation comportant l’ingérence doit prévoir des règles claires et précises régissant la portée et l’application de la mesure en cause (arrêt du 1^er août 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, point 70 et jurisprudence citée).

83 C’est au regard de l’ensemble de ces éléments qu’il y a lieu d’examiner la conformité au RGPD d’une législation nationale telle que celle en cause au principal.

84 En particulier, il convient de vérifier, premièrement, si la publication sur Internet des noms des sportifs sanctionnés en raison d’une violation des règles antidopage, de la durée de l’interdiction leur ayant été infligée et des motifs de celle-ci, effectuée par NADA et l’ÖADR et prévue à l’article 5, paragraphe 6, point 4, et à l’article 21, paragraphe 3, de l’ADBG, poursuit un objectif d’intérêt général, deuxièmement, si cette publication est apte à réaliser l’objectif d’intérêt général poursuivi, troisièmement, si l’ingérence dans les droits fondamentaux garantis aux articles 7 et 8 de la Charte qui résulte d’une telle publication est limitée au strict nécessaire, en ce sens que cet objectif ne pourrait raisonnablement être atteint de manière aussi efficace par d’autres moyens moins attentatoires à ces droits fondamentaux des personnes concernées, et, quatrièmement, si cette ingérence n’est pas disproportionnée par rapport audit objectif, ce qui implique notamment une pondération de l’importance de celui-ci et de la gravité de ladite ingérence (voir, en ce sens, arrêt du 22 novembre 2022, Luxembourg Business Registers, C‑37/20 et C‑601/20, EU:C:2022:912, point 66).

85 Premièrement, il convient de constater qu’une réglementation visant à lutter contre le dopage dans le but de préserver le déroulement loyal, intègre et objectif de la compétition sportive, d’assurer l’égalité des chances entre les athlètes, de protéger leur santé ainsi que de faire respecter les valeurs éthiques dans le sport poursuit un objectif d’intérêt général (voir, en ce sens, arrêt du 18 juillet 2006, Meca-Medina et Majcen/Commission, C‑519/04 P, EU:C:2006:492, points 43 à 45). Par ailleurs, ainsi qu’il a été relevé au point 80 du présent arrêt, celui-ci figure au nombre des objectifs que l’action de l’Union poursuit en vertu de l’article 165, paragraphe 2, dernier tiret, TFUE.

86 Deuxièmement, la poursuite de cet objectif d’intérêt général peut être assurée, au-delà de l’adoption de sanctions en cas d’infraction aux règles antidopage, par la divulgation au grand public de données à caractère personnel telles que celles en cause au principal. En effet, d’une part, une telle divulgation est de nature à dissuader les sportifs de violer ces règles et ainsi à prévenir le dopage dans le sport, en exposant au grand public les infractions commises et en informant les personnes susceptibles de parrainer le sportif concerné. D’autre part, cette divulgation contribue à éviter le contournement desdites règles et ainsi à assurer l’effectivité des sanctions prononcées en faisant obstacle, par l’information des organisateurs de compétitions et des employeurs potentiels du sportif concerné, à la participation de celui-ci à des compétitions dont il doit être exclu.

87 Partant, la publication des données relatives aux violations des règles antidopage est apte à contribuer à la réalisation de l’objectif d’intérêt général poursuivi, en contribuant à la dissuasion et à la prévention ainsi qu’à l’effectivité des sanctions prononcées.

88 Troisièmement, quant au caractère nécessaire de l’obligation de publication en cause, il convient de relever que celle-ci sert à renforcer les sanctions prononcées, lesquelles sont nécessaires pour garantir l’exécution de l’interdiction du dopage (voir, en ce sens, arrêt du 18 juillet 2006, Meca-Medina et Majcen/Commission, C‑519/04 P, EU:C:2006:492, point 44).

89 Cela étant, ainsi que le rappelle le considérant 39 du RGPD, cette exigence de nécessité n’est pas remplie lorsque l’objectif d’intérêt général visé peut raisonnablement être atteint de manière aussi efficace par d’autres moyens moins attentatoires aux droits fondamentaux des personnes concernées, en particulier aux droits au respect de la vie privée et à la protection des données à caractère personnel garantis aux articles 7 et 8 de la Charte, les dérogations et les restrictions au principe de la protection de telles données devant s’opérer dans les limites du strict nécessaire [arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 110].

90 Or, il n’apparaît pas que des mesures moins attentatoires aux droits au respect de la vie privée et à la protection des données à caractère personnel des personnes concernées – telles qu’une publication anonymisée des violations des règles antidopage constatées et des sanctions prononcées ou une publication limitée aux personnes chargées de faire respecter ces sanctions, telles que les organisateurs de compétitions et les associations sportives – soient de nature à atteindre l’objectif visé au point 85 du présent arrêt de manière aussi efficace que la publication nominative des informations en cause au principal sur les sites Internet de NADA et de l’ÖADR.

91 En effet, d’une part, une sanction prononcée pour violation des règles antidopage atteint d’autant mieux l’objectif de dissuasion et de prévention, en incitant les autres sportifs à ne pas recourir à un produit dopant et le sportif sanctionné lui-même à ne pas y recourir de nouveau, qu’elle fait l’objet d’une publicité.

92 D’autre part, eu égard aux spécificités du dopage dans le domaine du sport, afin d’éviter le contournement des règles antidopage et d’assurer l’effectivité des sanctions prononcées, il est nécessaire que celles-ci soient publiées et que l’identité du sportif concerné soit divulguée à un public qui n’est pas limité aux personnes chargées de faire respecter ces sanctions, telles que les organisateurs de compétitions et les associations sportives. Certes, la mise en œuvre de l’interdiction de participer à des compétitions sportives prononcée contre le sportif concerné exige notamment que les organisateurs de ces compétitions en aient connaissance. Toutefois, s’agissant des sportifs professionnels, la publication de la sanction concernée au-delà d’un cercle restreint de personnes n’apparaît pas dépasser ce qui est nécessaire en vue d’informer les personnes que cette sanction concerne indirectement et dont elle affecte les intérêts, telles que les employeurs et les sponsors, actuels ou potentiels, du sportif sanctionné.

93 Quatrièmement, il importe de rappeler que l’objectif d’intérêt général en cause ne saurait être poursuivi sans tenir compte du fait qu’il doit être concilié avec les droits fondamentaux concernés par la mesure en cause, et ce en effectuant une pondération équilibrée entre, d’une part, cet objectif d’intérêt général et, d’autre part, ces droits. Par conséquent, il convient, afin d’apprécier le caractère proportionné du traitement en cause au principal, de mesurer la gravité de l’ingérence dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel que comporte ce traitement et de vérifier si l’importance de l’objectif d’intérêt général poursuivi par celui-ci est en relation avec cette gravité (voir, en ce sens, arrêt du 1^er août 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, point 98).

94 Afin d’évaluer la gravité de cette ingérence, il doit notamment être tenu compte de la nature des données à caractère personnel en cause, en particulier de la nature éventuellement sensible de ces données, ainsi que de la nature et des modalités concrètes du traitement des données en cause, en particulier du nombre de personnes qui ont accès à ces données et des modalités d’accès à ces dernières (arrêt du 1^er août 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, point 99).

95 Si la juridiction de renvoi devait constater que les informations en cause au principal publiées par l’ÖADR mentionnent le nom ou la catégorie de la substance ou de la méthode interdite et constituent des « données concernant la santé », conformément aux circonstances mentionnées au point 73 du présent arrêt, elle devrait non seulement en tenir compte dans le cadre de son appréciation du respect des exigences de proportionnalité découlant de l’article 5, paragraphe 1, sous c), et de l’article 6, paragraphe 3, du RGPD, mais elle devrait également vérifier, ainsi qu’il a été relevé aux points 70 à 72 du présent arrêt, si la publication de ces données satisfait aux conditions posées notamment à l’article 9, paragraphe 2, sous g), de ce règlement.

96 S’agissant du traitement en cause effectué notamment par NADA, qui publie sur son site Internet l’identité du sportif concerné sans toutefois mentionner la substance éventuellement en cause, il convient de constater qu’une telle publication comporte néanmoins une ingérence grave dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, dès lors qu’elle est de nature à provoquer la désapprobation de la société ainsi qu’à entraîner une stigmatisation de la personne concernée. En outre, il est inhérent à cette publication que les informations concernées soient alors librement accessibles à un nombre potentiellement illimité de personnes. Par ailleurs, une fois publiées, ces informations peuvent être reproduites sur d’autres sites Internet et rester ainsi accessibles même après leur effacement du site Internet sur lequel elles ont été initialement publiées. De telles circonstances sont de nature à aggraver les conséquences pour les droits fondamentaux en cause des personnes concernées.

97 La gravité de cette ingérence doit ainsi être mise en balance avec l’importance de l’objectif visé par la publication concernée.

98 À cet égard, il convient de rappeler que les troisième et quatrième questions portent sur la publication de données à caractère personnel concernant les sportifs professionnels ne relevant pas des exceptions prévues par l’ADBG, lesquelles concernent les sportifs amateurs, les personnes particulièrement vulnérables et les « lanceurs d’alerte ». Cette publication n’implique, selon cette loi, aucune appréciation individuelle en fonction des circonstances.

99 C’est dans ce contexte que la juridiction de renvoi se demande si le RGPD exige, avant la publication de ces données, une mise en balance au cas par cas des intérêts en présence par le responsable du traitement afin de vérifier la proportionnalité d’une telle publication au regard des circonstances individuelles ou s’il est suffisant à cet égard que le législateur national établisse de manière abstraite les situations dans lesquelles une publication peut ou doit être omise.

100 Ainsi qu’il ressort des articles 21 et 23 de l’ADBG, le législateur autrichien a envisagé des situations prédéfinies indépendamment des circonstances propres à chaque cas individuel, en précisant les éléments de la publication concernée et en prévoyant certaines exceptions. Il a ainsi encadré cette publication et effectué une mise en balance abstraite de l’intérêt des sportifs dont les données à caractère personnel sont divulguées, d’une part, et des intérêts liés à la lutte antidopage, d’autre part.

101 Toutefois, compte tenu de la gravité de l’ingérence dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel des personnes concernées qui résulte, ainsi qu’il a été relevé au point 96 du présent arrêt, de la mise en ligne des sanctions en cas d’infraction antidopage, il ne saurait être exclu qu’il existe, en dehors de ces situations prédéfinies, des circonstances spécifiques au regard desquelles une publication des données en cause s’avère incompatible avec l’exigence d’une pondération équilibrée entre les différents intérêts en présence, laquelle permet, notamment, que la gravité de l’ingérence que comporte la publication en cause soit en relation avec l’importance des objectifs poursuivis.

102 Partant, en matière de lutte contre le dopage dans le domaine du sport, si l’article 5, paragraphe 1, sous a) et c), et l’article 6, paragraphe 3, second alinéa, du RGPD n’exigent pas qu’une mise en balance individuelle soit effectuée dans tous les cas, ils impliquent néanmoins que, lorsque les situations prédéfinies par la réglementation nationale ne permettent pas à elles seules d’assurer le respect du principe de proportionnalité dans chaque cas individuel, les responsables du traitement tiennent dûment compte des circonstances caractérisant le cas d’espèce et procèdent à une telle mise en balance individuelle sur la base de celles-ci avant de publier les données en cause sur Internet.

103 Cette mise en balance devrait tenir compte également de la gravité de l’infraction aux règles antidopage et de la qualité de la personne concernée ainsi que, notamment, de la question de savoir si cette personne est un sportif de renom, qui jouit d’une notoriété au niveau national ou international dans son domaine d’activité spécifique ou même au-delà de ce domaine. En effet, une responsabilité particulière s’impose aux sportifs de haut niveau et jouissant d’une certaine notoriété.

104 En outre, en ce qui concerne la durée de publication, plus la durée de la publication concernée est longue, plus les conséquences sur les intérêts et sur la vie privée de la personne concernée sont importantes et plus les exigences relatives notamment à la proportionnalité de cette publication sont élevées [voir, en ce sens, arrêt du 7 décembre 2023, SCHUFA Holding (Libération de reliquat de dette), C‑26/22 et C‑64/22, EU:C:2023:958, point 95]. Tel est notamment le cas lorsqu’il s’agit d’une publication accessible à un nombre potentiellement illimité de destinataires.

105 Une publication nominative sur les sites Internet de NADA et de l’ÖADR des informations en cause au principal pour une durée qui excèderait la période d’application des sanctions concernées ne serait pas, eu égard à la gravité de l’ingérence que comporte une telle publication dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte, proportionnée à l’importance de l’objectif poursuivi.

106 En ce qui concerne plus particulièrement une publication nominative sur les sites Internet de NADA et de l’ÖADR des informations en cause au principal dont la durée correspond à la période d’application des sanctions concernées, il y a lieu de relever que les sanctions peuvent être imposées pendant une longue, voire très longue durée ou encore être imposées à vie. Or, lorsque le sportif concerné atteint, pendant la durée d’application des sanctions, un âge auquel il ne sera plus en mesure d’exercer l’activité sportive en cause, une publication qui dépasserait manifestement cet âge paraît, en principe, également disproportionnée. Il incombe donc au responsable du traitement de s’assurer, en fonction de l’ensemble des circonstances de l’espèce, que l’ingérence dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte que comporte la publication concernée soit en relation avec l’importance de l’objectif poursuivi.

107 Eu égard à ce qui précède, il y a lieu de répondre aux troisième et quatrième questions que l’article 5, paragraphe 1, sous a) et c), et l’article 6, paragraphe 3, second alinéa, du RGPD doivent être interprétés en ce sens qu’ils ne s’opposent pas à une réglementation nationale imposant aux organismes nationaux antidopage une obligation de publier sur Internet des données à caractère personnel concernant l’ensemble des sportifs sanctionnés en raison d’une violation des règles antidopage, telles que le nom des sportifs concernés, la durée de l’interdiction leur ayant été infligée et les motifs de celle-ci, à l’exception des sportifs amateurs, des personnes particulièrement vulnérables et des « lanceurs d’alerte », à condition que cette réglementation permette aux responsables du traitement de procéder, en dehors de ces exceptions et avant une telle publication, à une mise en balance individuelle des intérêts en présence pour garantir que cette publication est effectuée de manière conforme à ce règlement.

Sur la cinquième question

108 Par sa cinquième question, la juridiction de renvoi demande, en substance, si l’article 10 du RGPD doit être interprété en ce sens qu’il s’applique aux traitements de données à caractère personnel relatives aux infractions prévues par une réglementation nationale antidopage et aux sanctions prononcées pour de telles infractions.

109 Cette juridiction précise à cet égard que les sanctions en cause au principal comprennent le retrait des titres et des récompenses ainsi qu’une suspension de plusieurs années ou une interdiction à vie de participation à toutes les compétitions nationales et internationales. Elle indique en outre que, en vertu de l’article 24, paragraphe 4, de l’ADBG, les organisations sportives ne peuvent pas employer des personnes visées par une interdiction en vertu de la législation antidopage.

110 Par cette question, ladite juridiction souhaite donc savoir si les données à caractère personnel relatives aux infractions prévues par une réglementation nationale antidopage et aux sanctions prononcées pour de telles infractions constituent des données à caractère personnel « relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes », au sens de l’article 10 du RGPD.

111 En vertu de cet article 10, le traitement de cette dernière catégorie de données ne peut être effectué que sous le contrôle de l’autorité publique, à moins qu’il ne soit autorisé par le droit de l’Union ou par le droit d’un État membre qui prévoit des garanties appropriées pour les droits et les libertés des personnes concernées.

112 À cet égard, il importe de rappeler que ledit article 10 vise à assurer une protection accrue à l’égard de traitements qui, en raison de la sensibilité particulière des données en cause, sont susceptibles de constituer une ingérence particulièrement grave dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, garantis aux articles 7 et 8 de la Charte [arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 74 et jurisprudence citée].

113 Afin de déterminer si un tel accès constitue un traitement de données à caractère personnel relatives à des « infractions », au sens de l’article 10 du RGPD, il importe de faire observer, premièrement, que cette notion renvoie exclusivement aux infractions pénales et que la protection accrue prévue à cet article est réservée au seul domaine pénal, ainsi qu’il résulte notamment de la genèse du RGPD, dont il ressort que le législateur de l’Union a délibérément omis d’inclure l’adjectif « administratif » audit article 10 [voir, en ce sens, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, points 77 et 78].

114 Deuxièmement, la notion d’« infraction pénale », décisive pour déterminer l’applicabilité de l’article 10 du RGPD à des données à caractère personnel telles que celles en cause au principal, requiert, dans toute l’Union, une interprétation autonome et uniforme, qui doit être recherchée en tenant compte de l’objectif poursuivi par cet article et du contexte dans lequel celui-ci s’insère, sans que soit déterminante à cet égard la qualification donnée par l’État membre concerné aux infractions concernées, cette qualification pouvant être différente d’un État membre à l’autre [voir, en ce sens, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 85 et jurisprudence citée].

115 Troisièmement, il importe de constater que les infractions et les sanctions antidopage ne visent qu’un groupe particulier de personnes, à savoir les sportifs, et que, à l’instar des sanctions disciplinaires, elles ont pour but d’assurer le respect, par les membres de ce groupe, de règles de comportement propres à celui-ci.

116 À cet égard, il résulte de la jurisprudence de la Cour européenne des droits de l’homme que le fait qu’une règle sanctionnant une infraction déterminée s’adresse à tous les citoyens plaide en faveur du caractère pénal de la sanction concernée (voir, en ce sens, Cour EDH, 21 février 1984, Öztürk c. Allemagne, CE:ECHR:1984:0221JUD000854479, § 53). En revanche, s’agissant d’une procédure disciplinaire menée devant des organes corporatifs et dans le cadre de laquelle le droit d’exercer une profession se trouve en jeu, cette Cour a déjà constaté que le caractère « civil » des droits en question ne fait pas de doute (Cour EDH, 2 octobre 2018, Mutu et Pechstein c. Suisse, CE:ECHR:2018:1002JUD004057510, § 58).

117 Or, à la différence de l’affaire ayant donné lieu à l’arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité) (C‑439/19, EU:C:2021:504), dans laquelle l’attribution de points de pénalité en raison de la commission d’infractions routières reposait sur un texte d’application générale, la réglementation nationale en cause au principal s’applique à un groupe de personnes visées par un corps de règles spécifiques.

118 En outre, les infractions et les sanctions antidopage prévues par cette réglementation ont pour but non seulement de protéger la société et de punir l’intéressé, mais aussi de préserver notamment l’intégrité de la compétition sportive et la réputation de la discipline sportive concernée.

119 Il en découle que des infractions antidopage telles que celles en cause au principal ne relèvent pas de la notion d’« infractions » visée à l’article 10 du RGPD.

120 Eu égard à l’ensemble des considérations qui précèdent, il y a lieu de répondre à la cinquième question que l’article 10 du RGPD doit être interprété en ce sens qu’il ne s’applique pas aux traitements de données à caractère personnel relatives aux infractions prévues par une réglementation nationale antidopage et aux sanctions prononcées pour de telles infractions, dès lors que, indépendamment de la qualification de ces infractions en droit interne, lesdites infractions et ces sanctions ne visent qu’un groupe particulier de personnes, à savoir les sportifs, à l’instar de sanctions disciplinaires ayant pour but d’assurer le respect, par les membres d’un groupe, de règles de comportement propres à celui-ci.

Sur la sixième question

121 En cas de réponse affirmative à la cinquième question, la juridiction de renvoi demande, en substance, si l’article 10 du RGPD doit être interprété en ce sens que les décisions d’une autorité chargée du contrôle du traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions doivent faire l’objet d’un contrôle juridictionnel.

122 Compte tenu de la réponse négative apportée à la cinquième question, il n’y a pas lieu de répondre à la sixième question.

Sur la septième question

123 Par sa septième question, la juridiction de renvoi demande, en substance, si une réclamation, introduite auprès d’une autorité de contrôle au titre de l’article 77 du RGPD, concernant une violation alléguée du droit à l’effacement prévu à l’article 17 de ce règlement, est recevable lorsque le traitement de données à caractère personnel de la personne concernée n’a pas encore eu lieu ni à la date de l’introduction de cette réclamation ni à celle à laquelle cette autorité statue sur celle-ci, mais qu’il existait déjà des indices concrets qu’un traitement de données à caractère personnel par le responsable du traitement était imminent ou aurait lieu dans un avenir proche. En cas de réponse négative, elle s’interroge sur la recevabilité a posteriori de ladite réclamation lorsque ce traitement intervient par la suite au cours de la procédure juridictionnelle.

124 En ce qui concerne la première sous-question, il convient de rappeler que l’article 77, paragraphe 1, du RGPD prévoit que toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle « si elle considère que le traitement de données à caractère personnel la concernant constitue une violation [de ce] règlement ». L’article 77, paragraphe 2, du RGPD précise les informations que l’autorité de contrôle doit fournir à l’auteur d’une telle réclamation.

125 Il est de jurisprudence constante de la Cour que, afin d’interpréter une disposition du droit de l’Union, il convient de tenir compte non seulement des termes de celle-ci, conformément à leur sens habituel dans le langage courant, mais également de son contexte et des objectifs poursuivis par la réglementation dont elle fait partie [arrêts du 17 novembre 1983, Merck, 292/82, EU:C:1983:335, point 12, ainsi que du 9 janvier 2025, Österreichische Datenschutzbehörde (Demandes excessives), C‑416/23, EU:C:2025:3, point 24].

126 Premièrement, le libellé de l’article 77 du RGPD n’impose pas de délai pour introduire une réclamation concernant un traitement de données à caractère personnel constituant une prétendue violation de ce règlement ni n’envisage l’hypothèse dans laquelle le traitement de données à caractère personnel concerné n’a pas encore eu lieu. Ainsi que M. l’avocat général l’a relevé au point 186 de ses conclusions, cet article emploie le verbe « constitue », ce qui implique que le traitement doit déjà avoir eu lieu, sans toutefois exclure l’hypothèse d’un traitement à venir.

127 Deuxièmement, au titre des éléments de contexte, il y a lieu d’évoquer les missions et les pouvoirs des autorités de contrôle. En particulier, en vertu de l’article 57, paragraphe 1, sous f), du RGPD, chaque autorité de contrôle est tenue, sur son territoire, de traiter les réclamations que toute personne, conformément à l’article 77, paragraphe 1, de ce règlement, est en droit d’introduire lorsqu’elle considère qu’un traitement de données à caractère personnel la concernant constitue une violation dudit règlement, et d’en examiner l’objet dans la mesure du nécessaire. L’autorité de contrôle doit procéder au traitement d’une telle réclamation avec toute la diligence requise [arrêt du 7 décembre 2023, SCHUFA Holding (Libération de reliquat de dette), C‑26/22 et C‑64/22, EU:C:2023:958, point 56 ainsi que jurisprudence citée].

128 De plus, l’article 58, paragraphe 1, du RGPD investit chaque autorité de contrôle d’importants pouvoirs d’enquête afin de traiter les réclamations introduites. Lorsqu’une telle autorité constate, à l’issue de son enquête, une violation des dispositions de ce règlement, elle est tenue de réagir de manière appropriée afin de remédier à l’insuffisance constatée. À cet effet, l’article 58, paragraphe 2, du RGPD énumère les différentes mesures correctrices que l’autorité de contrôle peut adopter, celle-ci disposant à cet égard d’une marge d’appréciation quant au choix des moyens appropriés et nécessaires [arrêt du 7 décembre 2023, SCHUFA Holding (Libération de reliquat de dette), C‑26/22 et C‑64/22, EU:C:2023:958, points 57 et 68].

129 Parmi ces mesures correctrices, l’autorité de contrôle peut, en vertu de l’article 58, paragraphe 2, sous a), du RGPD, avertir un responsable du traitement du fait que les opérations de traitement envisagées sont susceptibles de violer les dispositions du RGPD. Elle dispose donc de pouvoirs de nature préventive.

130 Il s’ensuit que la procédure de réclamation est conçue comme un mécanisme apte à sauvegarder de manière efficace les droits et les intérêts des personnes concernées [arrêt du 7 décembre 2023, SCHUFA Holding (Libération de reliquat de dette), C‑26/22 et C‑64/22, EU:C:2023:958, point 58].

131 Par ailleurs, il convient de rappeler que, concernant l’article 3, point 2, de la directive (UE) 2016/680 du Parlement européen et du Conseil, du 27 avril 2016, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO 2016, L 119, p. 89), la Cour a jugé que toute tentative de traitement de données peut déjà constituer un traitement de données [voir, en ce sens, arrêt du 4 octobre 2024, Bezirkshauptmannschaft Landeck (Tentative d’accès aux données personnelles stockées sur un téléphone portable), C‑548/21, EU:C:2024:830, points 69 à 77].

132 Il ressort de ces éléments qu’une intervention préventive de la part des autorités de contrôle dans le cadre du traitement des réclamations n’est pas exclue dans le contexte du RGPD.

133 Troisièmement, cette interprétation est confirmée par les objectifs poursuivis par le RGPD. En effet, il ressort notamment du considérant 10 de ce règlement que celui-ci vise à assurer un niveau élevé de protection des personnes physiques à l’égard du traitement des données à caractère personnel au sein de l’Union. Le considérant 11 dudit règlement énonce, en outre, qu’une protection effective de ces données dans l’ensemble de l’Union exige de renforcer les droits des personnes concernées.

134 Or, restreindre l’obligation de traiter les réclamations incombant aux autorités de contrôle en vertu de l’article 57, paragraphe 1, sous f), du RGPD, en interprétant l’article 77, paragraphe 1, de ce règlement en ce sens qu’il exclut toute possibilité d’introduire une réclamation auprès d’une autorité de contrôle lorsque le responsable du traitement s’apprête à procéder à un traitement, serait contraire aux objectifs poursuivis par ledit règlement, notamment celui consistant à assurer un niveau élevé de protection des personnes physiques à l’égard du traitement des données à caractère personnel au sein de l’Union.

135 Partant, une réclamation effectuée au titre de l’article 77 du RGPD peut être considérée comme étant recevable, en dépit du fait que le traitement de données à caractère personnel faisant l’objet de cette réclamation n’a pas encore eu lieu à la date de l’introduction, par la personne concernée, de ladite réclamation auprès de l’autorité de contrôle, à condition toutefois que ce traitement n’ait pas un caractère purement hypothétique.

136 Dans l’affaire au principal, la juridiction de renvoi est saisie d’un recours contre une décision par laquelle une réclamation tendant à obtenir l’effacement des données en cause a été rejetée pour défaut d’intérêt à agir, au motif que ces données n’avaient pas encore été publiées. La requérante au principal concernée, YT, a invoqué à cet égard le fait qu’une suspension de quatre ans lui avait été infligée par décision de l’ÖADR et qu’une publication desdites données était donc imminente.

137 Or, une réclamation tendant à obtenir l’effacement de données à caractère personnel suppose, en principe, que ces données aient fait l’objet d’un traitement. Il est en effet impossible, pour le responsable du traitement, de donner suite à une telle réclamation et d’effacer des données si elles n’ont pas encore été divulguées.

138 Toutefois, sous réserve de vérification par la juridiction de renvoi, il apparaît que la réclamation introduite par YT sur le fondement de l’article 77 du RGPD visait en réalité à empêcher la publication des données à caractère personnel concernées, et non à les effacer. Ainsi, cette réclamation était recevable dès lors que, à la date de son introduction auprès de l’autorité de contrôle compétente, il existait déjà des indices concrets que le traitement de ces données était imminent ou aurait lieu dans un avenir proche. Une telle conclusion s’impose d’autant plus que ce traitement – à savoir la publication sur Internet du nom de YT, du fait qu’elle a été sanctionnée en raison d’une violation des règles antidopage, ainsi que de la durée de l’interdiction lui ayant été infligée – comporte, ainsi qu’il a été constaté au point 96 du présent arrêt, une ingérence grave dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel de la personne concernée.

139 Compte tenu de l’ensemble des considérations qui précèdent, il y a lieu de répondre à la septième question que l’article 77 du RGPD doit être interprété en ce sens qu’une réclamation introduite sur le fondement de cet article et visant à empêcher la publication sur Internet de données à caractère personnel relatives à la violation des règles antidopage est recevable lorsqu’il existe, à la date de l’introduction de cette réclamation auprès de l’autorité de contrôle compétente, des indices concrets que cette publication est imminente ou aura lieu dans un avenir proche.

Sur les dépens

140 La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.

Par ces motifs, la Cour (grande chambre) dit pour droit :

1) L’article 2, paragraphe 2, sous a), du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), lu en combinaison avec l’article 16, paragraphe 2, première phrase, TFUE,

doit être interprété en ce sens que :

relève du champ d’application du droit de l’Union, et ainsi de celui de ce règlement, un traitement de données à caractère personnel consistant à publier, en application de règles nationales antidopage, les noms des sportifs sanctionnés en raison d’une violation de ces règles, la discipline sportive pratiquée par ceux-ci, la violation desdites règles commise, la sanction prononcée à l’égard de ces sportifs ainsi que le début et la fin de cette sanction.

2) L’article 9 du règlement 2016/679

doit être interprété en ce sens que :

l’information selon laquelle une personne déterminée a commis une violation spécifique des règles antidopage et est interdite de participer à des compétitions nationales et internationales en raison de cette violation ne relève pas, en principe, de la notion de « données concernant la santé », au sens de cet article 9. En revanche, il en va autrement lorsqu’une telle information mentionne le nom ou la catégorie de la substance ou de la méthode interdite concernée par ladite violation et que cette mention, combinée à d’autres informations concernant cette personne, est de nature à révéler, même de manière indirecte, par une opération intellectuelle de rapprochement ou de déduction, des informations sur l’état de santé physique ou mentale passé, présent ou futur de ladite personne.

3) L’article 5, paragraphe 1, sous a) et c), et l’article 6, paragraphe 3, second alinéa, du règlement 2016/679

doivent être interprétés en ce sens que :

ils ne s’opposent pas à une réglementation nationale imposant aux organismes nationaux antidopage une obligation de publier sur Internet des données à caractère personnel concernant l’ensemble des sportifs sanctionnés en raison d’une violation des règles antidopage, telles que le nom des sportifs concernés, la durée de l’interdiction leur ayant été infligée et les motifs de celle-ci, à l’exception des sportifs amateurs, des personnes particulièrement vulnérables et des « lanceurs d’alerte », à condition que cette réglementation permette aux responsables du traitement de procéder, en dehors de ces exceptions et avant une telle publication, à une mise en balance individuelle des intérêts en présence pour garantir que cette publication est effectuée de manière conforme à ce règlement.

4) L’article 10 du règlement 2016/679

doit être interprété en ce sens que :

il ne s’applique pas aux traitements de données à caractère personnel relatives aux infractions prévues par une réglementation nationale antidopage et aux sanctions prononcées pour de telles infractions, dès lors que, indépendamment de la qualification de ces infractions en droit interne, lesdites infractions et ces sanctions ne visent qu’un groupe particulier de personnes, à savoir les sportifs, à l’instar de sanctions disciplinaires ayant pour but d’assurer le respect, par les membres d’un groupe, de règles de comportement propres à celui-ci.

5) L’article 77 du règlement 2016/679

doit être interprété en ce sens que :

une réclamation introduite sur le fondement de cet article et visant à empêcher la publication sur Internet de données à caractère personnel relatives à la violation des règles antidopage est recevable lorsqu’il existe, à la date de l’introduction de cette réclamation auprès de l’autorité de contrôle compétente, des indices concrets que cette publication est imminente ou aura lieu dans un avenir proche.

Signatures

---

* Langue de procédure : l’allemand.