Wyrok Trybunału Sprawiedliwości Unii Europejskiej z 14 lipca 2026 r.

Wydanie tymczasowe

WYROK TRYBUNAŁU (wielka izba)

z dnia 14 lipca 2026 r.(*)

Odesłanie prejudycjalne – Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuł 2 – Zakres przedmiotowy stosowania – Artykuły 5 i 6 – Zasady dotyczące przetwarzania danych osobowych i jego zgodności z prawem – Artykuł 9 – Pojęcie „danych dotyczących zdrowia” – Artykuł 10 – Pojęcie „danych osobowych dotyczących wyroków skazujących i czynów zabronionych” – Walka z dopingiem w sporcie – Publikacja w Internecie nazwiska osoby, która naruszyła przepisy antydopingowe, okresu trwania jej wyłączenia w związku z dyskwalifikacją z udziału w imprezach sportowych oraz przyczyn tej dyskwalifikacji – Wyważenie interesów – Proporcjonalność – Artykuł 77 – Prawo do wniesienia skargi do organu nadzorczego, jeżeli taka publikacja nastąpi niezwłocznie

W sprawie C‑474/24

mającej za przedmiot wniosek o wydanie, na podstawie art. 267 TFUE, orzeczenia w trybie prejudycjalnym, złożony przez Bundesverwaltungsgericht (federalny sąd administracyjny, Austria) postanowieniem z dnia 28 czerwca 2024 r., które wpłynęło do Trybunału w dniu 4 lipca 2024 r., w postępowaniu:

AR,

YT,

DI,

RN

przy udziale:

Österreichische Datenschutzbehörde,

Nationale Anti-Doping Agentur Austria GmbH (NADA Austria),

Österreichische Anti-Doping Rechtskommission (ÖADR),

TRYBUNAŁ (wielka izba),

w składzie: K. Lenaerts, prezes, T. von Danwitz, wiceprezes, C. Lycourgos, I. Jarukaitis, M.L. Arastey Sahún, J. Passer (sprawozdawca), M. Condinanzi i F. Schalin, prezesi izb, E. Regan, N. Piçarra, A. Kumin, N. Jääskinen, B. Smulders, S. Gervasoni i N. Fenger, sędziowie,

rzecznik generalny: D. Spielmann,

sekretarz: R. Şereş, administratorka,

uwzględniając pisemny etap postępowania i po przeprowadzeniu rozprawy w dniu 13 maja 2025 r.,

rozważywszy uwagi, które przedstawili:

– w imieniu AR, YT, DI i RN – J. Öhlböck, Rechtsanwalt,

– w imieniu Österreichische Datenschutzbehörde – M. Schmidl i E. Wagner, w charakterze pełnomocników,

– w imieniu Nationale Anti-Doping Agentur Austria GmbH (NADA Austria) – T. Grünvaldska, A. Schütz, Rechtsanwälte i K. Van Quathem, advocaat,

– w imieniu rządu austriackiego – J. Schmoll i C. Gabauer, w charakterze pełnomocników,

– w imieniu rządu łotewskiego – J. Davidoviča, K. Pommere i S. Zellis, w charakterze pełnomocników,

– w imieniu rządu niderlandzkiego – M.K. Bulterman i H.S. Gijzen, w charakterze pełnomocników,

– w imieniu rządu polskiego – B. Majczyna, w charakterze pełnomocnika,

– w imieniu rządu fińskiego – M. Pere, w charakterze pełnomocnika,

– w imieniu Komisji Europejskiej – A. Bouchagiar, M. Heller i H. Kranenborg, w charakterze pełnomocników,

po zapoznaniu się z opinią rzecznika generalnego na posiedzeniu w dniu 25 września 2025 r.,

wydaje następujący

Wyrok

Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 16 ust. 2 zdanie pierwsze TFUE, art. 5 ust. 1 lit. a) i c), art. 6 ust. 3 akapit drugi oraz art. 9, 10, 17 i 77 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.U. 2016, L 119, s. 1; sprostowanie Dz.U. 2018, L 127, s. 2, zwanego dalej „RODO”).

Wniosek ten został złożony w ramach sporu pomiędzy sportowcami AR, YT, DI i RN a Nationale Anti-Doping Agentur Austria GmbH (NADA Austria) oraz Österreichische Anti-Doping Rechtskommission (ÖADR) [niezależną austriacką komisją prawną ds. antydopingu (ÖADR)] w przedmiocie publikacji w Internecie szeregu informacji odnoszących się do tych sportowców, dotyczących naruszenia przez nich austriackich przepisów antydopingowych.

Ramy prawne

WADC

Światowy kodeks antydopingowy, w brzmieniu obowiązującym w 2021 r. (zwany dalej „WADC”), opracowany przez Światową Agencję Antydopingową, jest podstawowym aktem w zakresie zwalczania dopingu w dziedzinie sportu, jak wynika z deklaracji kopenhaskiej z dnia 5 marca 2003 r. w sprawie antydopingu w sporcie. Kodeks ten jest instrumentem prawa prywatnego, którego zobowiązały się przestrzegać państwa sygnatariusze Międzynarodowej konwencji [ONZ] o zwalczaniu dopingu w sporcie, podpisanej w dniu 19 października 2005 r. w Paryżu i która weszła w życie w dniu 1 lutego 2007 r. Zarówno ta deklaracja, jak i ta konwencja zostały podpisane przez wszystkie państwa członkowskie Unii Europejskiej.

W art. 2 WADC wymieniono w jego ust. 1–11 kategorie naruszeń przepisów antydopingowych.

Artykuł 2 ust. 6 WADC, który odnosi się do posiadania przez zawodnika lub personel pomocniczy zawodnika substancji zabronionej lub użycia zabronionej metody, w związku z art. 4 ust. 4 tego kodeksu, dopuszcza stosowanie niektórych substancji w celach terapeutycznych.

Artykuł 14 ust. 3 pkt 2 WADMC zobowiązuje dane organizacje antydopingowe do publicznego ujawnienia „wyniku postępowania antydopingowego, w tym dyscypliny sportu, naruszonego przepisu antydopingowego, nazwiska sportowca lub innej osoby, które popełniły naruszenie, substancji zabronionej lub danej zabronionej metody (w stosownych przypadkach) i wyciągniętych konsekwencji”.

Prawo Unii

Traktat FUE

Artykuł 16 TFUE przewiduje:

„1. Każda osoba ma prawo do ochrony danych osobowych jej dotyczących.

2. Parlament Europejski i Rada [Unii Europejskiej], stanowiąc zgodnie ze zwykłą procedurą ustawodawczą, określają zasady dotyczące ochrony osób fizycznych w zakresie przetwarzania danych osobowych przez instytucje, organy i jednostki organizacyjne Unii oraz przez państwa członkowskie w wykonywaniu działań wchodzących w zakres zastosowania prawa Unii, a także zasady dotyczące swobodnego przepływu takich danych. Przestrzeganie tych zasad podlega kontroli niezależnych organów.

[…]”.

Artykuł 165 TFUE stanowi:

„[…]

2. Działanie Unii zmierza do:

[…]

– rozwoju europejskiego wymiaru sportu, przez popieranie uczciwości i dostępności we współzawodnictwie sportowym oraz współpracy między podmiotami odpowiedzialnymi za sport, jak również przez ochronę integralności fizycznej i psychicznej sportowców, w szczególności tych najmłodszych.

4. Aby przyczynić się do osiągnięcia celów określonych w niniejszym artykule:

– Rada przyjmuje zalecenia, stanowiąc na wniosek Komisji [Europejskiej]”.

RODO

Zgodnie z motywami 10–12, 16, 35, 39, 51 i 112 RODO:

„(10) Aby zapewnić wysoki i spójny stopień ochrony osób fizycznych oraz usunąć przeszkody w przepływie danych osobowych w Unii, należy zapewnić równorzędny we wszystkich państwach członkowskich stopień ochrony praw i wolności osób fizycznych w związku z przetwarzaniem takich danych. Należy zapewnić spójne i jednolite w całej Unii stosowanie przepisów o ochronie podstawowych praw i wolności osób fizycznych w związku z przetwarzaniem danych osobowych. Jeżeli chodzi o przetwarzanie danych osobowych w celu wypełnienia obowiązku prawnego, w celu wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, państwa członkowskie powinny móc zachować lub wprowadzić krajowe przepisy doprecyzowujące stosowanie przepisów niniejszego rozporządzenia. Obok ogólnego, horyzontalnego prawa o ochronie danych wdrażającego dyrektywę 95/46/WE [Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. 1995, L 281, s. 31)] państwa członkowskie przyjęły uregulowania sektorowe w dziedzinach wymagających przepisów bardziej szczegółowych. Niniejsze rozporządzenie umożliwia też państwom członkowskim doprecyzowanie jego przepisów, w tym w odniesieniu do przetwarzania szczególnych kategorii danych osobowych (zwanych dalej »danymi wrażliwymi«). W tym względzie niniejsze rozporządzenie nie wyklucza możliwości określenia w prawie państwa członkowskiego okoliczności dotyczących konkretnych sytuacji związanych z przetwarzaniem danych, w tym dookreślenia warunków, które decydują o zgodności przetwarzania z prawem.

(11) Aby ochrona danych osobowych w Unii była skuteczna, należy wzmocnić i doprecyzować prawa osób, których dane dotyczą, oraz obowiązki podmiotów przetwarzających dane osobowe i decydujących o przetwarzaniu, jak również zapewnić równorzędne uprawnienia w zakresie monitorowania i egzekwowania przepisów o ochronie danych osobowych oraz równorzędne kary za naruszenia tych przepisów w państwach członkowskich.

(12) Artykuł 16 ust. 2 TFUE powierza Parlamentowi Europejskiemu i Radzie określenie zasad ochrony osób fizycznych w zakresie przetwarzania danych osobowych oraz zasad swobodnego przepływu takich danych.

(16) Niniejsze rozporządzenie nie ma zastosowania do kwestii ochrony podstawowych praw i wolności ani do swobodnego przepływu danych osobowych w związku z działalnością nieobjętą zakresem prawa Unii, taką jak działalność dotycząca bezpieczeństwa narodowego. Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych przez państwa członkowskie w związku z działaniami związanymi ze wspólną polityką zagraniczną i bezpieczeństwa Unii.

(35) Do danych osobowych dotyczących zdrowia należy zaliczyć wszystkie dane o stanie zdrowia osoby, której dane dotyczą, ujawniające informacje o przeszłym, obecnym lub przyszłym stanie fizycznego lub psychicznego zdrowia osoby, której dane dotyczą. Do danych takich należą informacje o danej osobie fizycznej zbierane podczas jej rejestracji do usług opieki zdrowotnej lub podczas świadczenia jej usług opieki zdrowotnej, jak to określa dyrektywa Parlamentu Europejskiego i Rady 2011/24/UE [z dnia 9 marca 2011 r. w sprawie stosowania praw pacjentów w transgranicznej opiece zdrowotnej (Dz.U. 2011, L 88, s. 45)]; numer, symbol lub oznaczenie przypisane danej osobie fizycznej w celu jednoznacznego zidentyfikowania tej osoby fizycznej do celów zdrowotnych; informacje pochodzące z badań laboratoryjnych lub lekarskich części ciała lub płynów ustrojowych, w tym danych genetycznych i próbek biologicznych; oraz wszelkie informacje, na przykład o chorobie, niepełnosprawności, ryzyku choroby, historii medycznej, leczeniu klinicznym lub stanie fizjologicznym lub biomedycznym osoby, której dane dotyczą, niezależnie od ich źródła, którym może być na przykład lekarz lub inny pracownik służby zdrowia, szpital, urządzenie medyczne lub badanie diagnostyczne in vitro.

(39) Wszelkie przetwarzanie danych osobowych powinno być zgodne z prawem i rzetelne. […] Dane osobowe powinny być adekwatne, stosowne i ograniczone do tego, co niezbędne do celów, dla których są one przetwarzane. Wymaga to w szczególności zapewnienia ograniczenia okresu przechowywania danych do ścisłego minimum. Dane osobowe powinny być przetwarzane tylko w przypadkach, gdy celu przetwarzania nie można w rozsądny sposób osiągnąć innymi sposobami. Aby zapobiec przechowywaniu danych osobowych przez okres dłuższy, niż jest to niezbędne, administrator powinien ustalić termin ich usuwania lub okresowego przeglądu. […]

(51) Dane osobowe, które z racji swego charakteru są szczególnie wrażliwe w świetle podstawowych praw i wolności, wymagają szczególnej ochrony, gdyż kontekst ich przetwarzania może powodować poważne ryzyko dla podstawowych praw i wolności. […] Takich danych osobowych nie należy przetwarzać, chyba że niniejsze rozporządzenie dopuszcza ich przetwarzanie w szczególnych przypadkach, przy czym należy uwzględnić, że prawo państw członkowskich może obejmować przepisy szczegółowe o ochronie danych dostosowujące zastosowanie przepisów niniejszego rozporządzenia tak, by można było wypełnić obowiązki prawne lub wykonać zadanie realizowane w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Oprócz wymogów szczegółowych mających zastosowanie do takiego przetwarzania, zastosowanie powinny mieć zasady ogólne i inne przepisy niniejszego rozporządzenia, w szczególności jeżeli chodzi o warunki zgodności przetwarzania z prawem. Należy wyraźnie przewidzieć wyjątki od ogólnego zakazu przetwarzania takich szczególnych kategorii danych osobowych, m.in. w razie wyraźnej zgody osoby, której dane dotyczą, lub ze względu na szczególne potrzeby, w szczególności gdy przetwarzanie danych odbywa się w ramach uzasadnionych działań niektórych zrzeszeń lub fundacji, których celem jest umożliwienie korzystania z podstawowych wolności.

(112) Wyjątki te powinny mieć w szczególności zastosowanie do przekazywania danych wymaganego i niezbędnego z uwagi na ważne względy interesu publicznego, na przykład do międzynarodowej wymiany danych między organami ds. konkurencji, organami podatkowymi lub celnymi, organami nadzoru finansowego, służbami odpowiedzialnymi za sprawy zabezpieczenia społecznego lub za zdrowie publiczne, na przykład w przypadku ustalania kontaktów zakaźnych w razie chorób zakaźnych lub w celu zmniejszenia lub wyeliminowania dopingu w sporcie. […]”.

Artykuł 2 RODO, zatytułowany „Materialny zakres stosowania”, stanowi:

„1. Niniejsze rozporządzenie ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych.

2. Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych:

a) w ramach działalności nieobjętej zakresem prawa Unii;

Artykuł 4 RODO, zatytułowany „Definicje”, przewiduje:

„Na użytek niniejszego rozporządzenia:

1) »dane osobowe« oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (»osobie, której dane dotyczą«); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej;

2) »przetwarzanie« oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie;

15) »dane dotyczące zdrowia« oznaczają dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej – w tym o korzystaniu z usług opieki zdrowotnej – ujawniające informacje o stanie jej zdrowia;

Artykuł 5 RODO, zatytułowany „Zasady dotyczące przetwarzania danych osobowych”, ma następujące brzmienie:

„1. Dane osobowe muszą być:

a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (»zgodność z prawem, rzetelność i przejrzystość«);

c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (»minimalizacja danych«);

Artykuł 6 RODO, zatytułowany „Zgodność przetwarzania z prawem”, stanowi:

„1. Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:

c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;

e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;

3. Podstawa przetwarzania, o którym mowa w ust. 1 lit. c) i e), musi być określona:

a) w prawie Unii; lub

b) w prawie państwa członkowskiego, któremu podlega administrator.

Cel przetwarzania musi być określony w tej podstawie prawnej lub, w przypadku przetwarzania, o którym mowa w ust. 1 lit. e) – musi być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Podstawa prawna może zawierać przepisy szczegółowe dostosowujące stosowanie przepisów niniejszego rozporządzenia, w tym: ogólne warunki zgodności z prawem przetwarzania przez administratora; rodzaj danych podlegających przetwarzaniu; osoby, których dane dotyczą; podmioty, którym można ujawnić dane osobowe; cele, w których można je ujawnić; ograniczenia celu; okresy przechowywania; oraz operacje i procedury przetwarzania, w tym środki zapewniające zgodność z prawem i rzetelność przetwarzania, w tym w innych szczególnych sytuacjach związanych z przetwarzaniem, o których mowa w rozdziale IX. Prawo Unii lub prawo państwa członkowskiego muszą służyć realizacji celu leżącego w interesie publicznym, oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu.

Artykuł 9 RODO, zatytułowany „Przetwarzanie szczególnych kategorii danych osobowych”, stanowi:

„1. Zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby.

2. Ustęp 1 nie ma zastosowania, jeżeli spełniony jest jeden z poniższych warunków:

a) osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach, chyba że prawo Unii lub prawo państwa członkowskiego przewidują, iż osoba, której dane dotyczą, nie może uchylić zakazu, o którym mowa w ust. 1;

g) przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą;

i) przetwarzanie jest niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi lub zapewnienie wysokich standardów jakości i bezpieczeństwa opieki zdrowotnej oraz produktów leczniczych lub wyrobów medycznych, na podstawie prawa Unii lub prawa państwa członkowskiego, które przewidują odpowiednie, konkretne środki ochrony praw i wolności osób, których dane dotyczą, w szczególności tajemnicę zawodową;

Artykuł 10 RODO, zatytułowany „Przetwarzanie danych osobowych dotyczących wyroków skazujących i naruszeń prawa”, stanowi:

„Przetwarzania danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa na podstawie art. 6 ust. 1 wolno dokonywać wyłącznie pod nadzorem władz publicznych lub jeżeli przetwarzanie jest dozwolone prawem Unii lub prawem państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw i wolności osób, których dane dotyczą. Wszelkie kompletne rejestry wyroków skazujących są prowadzone wyłącznie pod nadzorem władz publicznych”.

Artykuł 17 RODO, zatytułowany „Prawo do usunięcia danych (»prawo do bycia zapomnianym«)”, przewiduje w ust. 1:

„1. Osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli zachodzi jedna z następujących okoliczności:

3. Ust[ępy] 1 i 2 nie mają zastosowania, w zakresie w jakim przetwarzanie jest niezbędne:

b) do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega administrator, lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;

Rozdział V RODO, zatytułowany „Przekazywanie danych osobowych do państw trzecich lub organizacji międzynarodowych”, obejmuje art. 44–50.

Artykuł 57 RODO, zatytułowany „Zadania”, w ust. 1 stanowi:

„Bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia każdy organ nadzorczy na swoim terytorium:

f) rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez podmiot, organizację lub zrzeszenie zgodnie z art. 80, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań, w szczególności jeżeli niezbędne jest dalsze prowadzenie postępowań lub koordynacja działań z innym organem nadzorczym;

Artykuł 58 RODO, zatytułowany „Uprawnienia”, wymienia w ust. 1 przysługujące każdemu organowi nadzorczemu uprawnienia w zakresie prowadzonych postępowań, podczas gdy ust. 2 przewiduje:

„Każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia naprawcze:

a) wydawanie ostrzeżeń administratorowi lub podmiotowi przetwarzającemu dotyczących możliwości naruszenia przepisów niniejszego rozporządzenia poprzez planowane operacje przetwarzania;

Artykuł 77 RODO, zatytułowany „Prawo do wniesienia skargi do organu nadzorczego”, stanowi:

„1. Bez uszczerbku dla innych administracyjnych lub środków ochrony prawnej przed sądem każda osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, w szczególności w państwie członkowskim swojego zwykłego pobytu, swojego miejsca pracy lub miejsca popełnienia domniemanego naruszenia, jeżeli sądzi, że przetwarzanie danych osobowych jej dotyczące narusza niniejsze rozporządzenie.

2. Organ nadzorczy, do którego wniesiono skargę, informuje skarżącego o postępach i efektach rozpatrywania skargi, w tym o możliwości skorzystania z sądowego środka ochrony prawnej na mocy art. 78”.

Artykuł 78 RODO, zatytułowany „Prawo do skutecznego środka ochrony prawnej przed sądem przeciwko organowi nadzorczemu”, w ust. 1 stanowi:

„Bez uszczerbku dla innych administracyjnych lub pozasądowych środków ochrony prawnej każda osoba fizyczna lub prawna ma prawo do skutecznego środka ochrony prawnej przed sądem przeciwko prawnie wiążącej decyzji organu nadzorczego jej dotyczącej”.

Prawo austriackie

Paragraf 1 Anti-Doping-Bundesgesetz 2021 [federalnej ustawy antydopingowej (2021)] z dnia 23 grudnia 2020 r. (BGBl. I, 152/2020, zwanej dalej „ADBG”), zatytułowany „Cele i naruszenia przepisów antydopingowych”, stanowi w ust. 1, że „z uwagi na to, że doping wpływa na umiejętności sportowe, jest on sprzeczny z zasadą uczciwości we współzawodnictwie sportowym oraz prawdziwą immanentną wartością sportu (duchem sportu), a ponadto stwarza zagrożenie dla zdrowia”.

Paragraf 5 ADBG, zatytułowany „Niezależna organizacja do spraw kontroli antydopingowej”, przewiduje w ust. 1, że zadaniem tej organizacji jest między innymi składanie wniosków o kontrolę zgodnie z § 18 ADBG, do ÖADR, jeżeli organizacja ta uzna, iż naruszono ADBG i korzystanie ze statusu strony w postępowaniach przed ADBG oraz przed Unabhängige Schiedskommission (niezależną komisją arbitrażową, Austria, zwaną dalej „USK”), zgodnie z § 20 ust. 2 i § 23 ust. 2 ADBG.

Paragraf 5 ADBG stanowi w ust. 5 i 6:

„5. W celu wykonywania zadań niezależnej organizacji do spraw kontroli antydopingowej istnieje spółka z ograniczoną odpowiedzialnością o charakterze spółki użyteczności publicznej, której nazwa brzmi »Nationale Anti-Doping Agentur Austria GmbH«, której nazwą skróconą jest »Nada Austria« [zwana dalej »NADA«]. […] Jako administrator w rozumieniu art. 4 pkt 7 RODO [NADA] przetwarza dane osobowe.

6. Niezależna organizacja do spraw kontroli antydopingowej jest zobowiązana do poinformowania Österreichische Bundes-Sportorganisation (BSO) [federalnej austriackiej organizacji sportowej (BSO), Austria], organizacji sportowych, sportowców, pozostałych osób i organizatorów zawodów sportowych o następujących kwestiach, oprócz kwestii, o których mowa w § 3, i do nieodpłatnego podania ich do wiadomości społeczeństwu:

1) o organizacjach upoważnionych do spraw kontroli antydopingowej;

2) o kryteriach włączenia w zakres krajowego badania (§ 9);

3) o zwrocie kosztów postępowania w sprawie kontroli antydopingowej;

4) bez uszczerbku dla przepisów § 21 ust. 3 i § 23 ust. 14 o środkach bezpieczeństwa (np. zawieszeniach) oraz dyskwalifikacjach sportowców i pozostałych osób, o których niezależna organizacja do spraw kontroli antydopingowej się dowiedziała, oraz ich uchyleniu, z podaniem nazwisk danych osób, okresu dyskwalifikacji oraz przyczyn dla zastosowania tych środków, bez możliwości wyciągnięcia wniosków co do szczególnych kategorii danych osobowych, w szczególności danych dotyczących stanu zdrowia danych osób. Wobec osób wymagających szczególnej ochrony oraz sportowców uprawiających sport rekreacyjnie można zrezygnować z opublikowania tych informacji. Należy dokonać ich ujawnienia, ze względów związanych ze zdrowiem publicznym, w stosunku do sportowców uprawiających sport rekreacyjnie, jeżeli stwierdzono naruszenie przepisów antydopingowych zgodnie z § 1 ust. 2 pkt 3, 9–11.

5) dane – w szczególności dane osobowe – i szczególne kategorie danych osobowych, które są przetwarzane i cele, w których dane te są przetwarzane w ramach postępowania antydopingowego lub procedury kontroli antydopingowej”.

Paragraf 6 ADBG, zatytułowany „Przepisy dotyczące ochrony danych”, przewiduje:

„1. Niezależna organizacja do spraw kontroli antydopingowej jest uprawniona jako administrator zgodnie z art. 4 ust. 7 RODO, w zakresie, w jakim jest to niezbędne do wykonywania obowiązków nałożonych na niego na mocy niniejszej ustawy federalnej i do celów jej wykonywania, w szczególności w ramach obowiązków [ÖADR] i [USK], do przetwarzania danych osobowych. […]

2. Niezależna organizacja do spraw kontroli antydopingowej dba w szczególności o bezpieczeństwo danych osobowych oraz szczególnych kategorii danych osobowych, zgodnie z art. 32–34 RODO. Przetwarzanie danych jest konieczne dla skutecznego wdrożenia przepisów antydopingowych [WADC] oraz przepisów niniejszej ustawy federalnej, pod warunkiem że osoby, których dane dotyczą, zobowiązały się umownie do przestrzegania przepisów WADC. Ponadto szczególne kategorie danych osobowych, w szczególności dane dotyczące stanu zdrowia, mogą być przetwarzane tylko wtedy, gdy jest to bezwzględnie konieczne na podstawie przepisów antydopingowych niniejszej ustawy federalnej lub WADC.

Paragraf 7 ADBG, zatytułowany „[ÖADR]”, stanowi w ust. 1:

„[ÖADR] jest komisją niezależną od organów rządowych, podmiotów prywatnych oraz od niezależnej organizacji do spraw kontroli antydopingowej. Członkowie ÖADR nie mogą uczestniczyć ani w dochodzeniu wobec sportowca, lub innej osoby, ani w decydowaniu, czy złożyć wniosek o kontrolę dotyczący sportowca, lub innej osoby, ani w kontroli przez [USK] orzeczeń wydawanych przez ÖADR zgodnie z § 8. ÖADR prowadzi postępowania dyscyplinarne dla danego federalnego związku sportowego właściwego dla danej dyscypliny sportu, zgodnie z obowiązującymi przepisami antydopingowymi właściwego dla danej dyscypliny sportu międzynarodowego związku sportowego (postępowania antydopingowe)”.

Paragraf 8 ADBG, zatytułowany „[USK]”, stanowi w ust. 1:

„[USK] jest komisją niezależną od organów rządowych, podmiotów prywatnych oraz od niezależnej organizacji do spraw kontroli antydopingowej. Członkowie USK nie mogą uczestniczyć ani w dochodzeniu wobec sportowca, lub innej osoby, ani w decydowaniu, czy złożyć wniosek o kontrolę dotyczący sportowca, lub innej osoby, ani w wydawaniu podlegających ich kontroli orzeczeń samego ÖADR. Bez uszczerbku dla § 23 ust. 10 pkt 1 i 2 USK jest ustanowiony przy niezależnej organizacji do spraw kontroli antydopingowej w celu kontrolowania orzeczeń ÖADR w postępowaniach antydopingowych”.

Paragraf 12 ADBG, zatytułowany „Wyjątki od zakazu z powodów medycznych”, reguluje postępowanie mające na celu udzielenie pozwoleń na użycie substancji zabronionych w celach terapeutycznych.

Paragraf 20 ADBG, zatytułowany „Postępowanie przed [ÖADR]”, stanowi co do zasady, że ÖADR jest właściwy do prowadzenia postępowań antydopingowych w następstwie wniosków o kontrolę złożonych przez niezależną organizację do spraw kontroli antydopingowej i do wydawania orzeczeń w pierwszej instancji w przypadku naruszenia przepisów antydopingowych właściwego dla danej dyscypliny sportu międzynarodowego związku sportowego”.

Paragraf 21 ADBG, zatytułowany „Inne przepisy regulujące procedurę”, stanowi w ust. 3:

„Najpóźniej 20 dni po uprawomocnieniu się orzeczenia ÖADR jest zobowiązana do poinformowania BSO, organizacji sportowych, sportowców, pozostałych osób, organizatorów zawodów sportowych oraz społeczeństwa o nałożonych środkach zabezpieczających (np. zawieszeniach) oraz o orzeczeniach wydanych w postępowaniu antydopingowym z podaniem nazwiska danej osoby, okresu dyskwalifikacji oraz jej przyczyn, przy czym nie ma możliwości wyciągnięcia wniosków co do danych dotyczących zdrowia owej osoby. Można zrezygnować z opublikowania tych informacji wobec osób wymagających szczególnej ochrony, sportowców uprawiających sport rekreacyjnie oraz osób, które przez ujawnienie informacji lub inne wskazówki istotnie przyczyniły się do wykrycia potencjalnych naruszeń przepisów antydopingowych. W stosunku do sportowców uprawiających sport rekreacyjnie należy dokonać ujawnienia ze względów związanych ze zdrowiem publicznym, jeżeli stwierdzono naruszenie przepisów antydopingowych zgodnie z § 1 ust. 2 pkt 3, 9–11”.

Paragraf 23 ADBG, zatytułowany „Postępowania przed [USK]”, stanowi w ust. 14:

„USK zawiadamia BSO, organizacje sportowe, sportowców, pozostałe osoby, organizatorów zawodów sportowych oraz społeczeństwo o jej orzeczeniach z podaniem nazwiska danej osoby, okresu dyskwalifikacji oraz jej przyczyn, przy czym nie ma możliwości wyciągnięcia wniosków co do danych dotyczących zdrowia owej osoby. Można zrezygnować z opublikowania tych informacji wobec osób wymagających szczególnej ochrony, sportowców uprawiających sport rekreacyjnie oraz osób, które przez ujawnienie informacji lub inne wskazówki istotnie przyczyniły się do wykrycia potencjalnych naruszeń przepisów antydopingowych. W przypadku sportowców uprawiających sport rekreacyjnie należy dokonać ujawnienia ze względów związanych ze zdrowiem publicznym, jeżeli stwierdzono naruszenie przepisów antydopingowych zgodnie z § 1 ust. 2 pkt 3, 9–11”.

Paragraf 24 ADBG, zatytułowany „Szczególne obowiązki organizacji sportowej”, stanowi w ust. 4, że organizacje sportowe nie mogą zatrudniać osób zdyskwalifikowanych na podstawie przepisów antydopingowych.

Postępowanie główne i pytania prejudycjalne

ÖADR, po zakończeniu postępowań antydopingowych, które prowadziła, bądź USK, właściwa do ponownego rozpatrzenia orzeczeń ÖADR, wydały w stosunku do czterech sportowców AR, YT, DI i RN decyzje o ich wyłączeniu w związku z dyskwalifikacją z udziału w zawodach odpowiednio na czas określony lub dożywotnio.

Zgodnie z austriackimi przepisami antydopingowymi NADA, spółka z ograniczoną odpowiedzialnością o charakterze spółki użyteczności publicznej, publikuje na swojej stronie internetowej orzeczone przez ÖADR lub USK dyskwalifikacje w formie wykazu. Wykaz ten obejmuje imię i nazwisko danego sportowca, uprawianą dyscyplinę sportu, popełnione naruszenie przepisów antydopingowych, nałożoną karę oraz początek i koniec kary. ÖADR również publikuje te dane na swojej stronie internetowej w rubryce „Komunikaty prasowe”.

W październiku 2021 r. skarżący w postępowaniu głównym zwrócili się do ÖADR i NADA o usunięcie wzmianki o ich nazwiskach oraz informacji o danych dyscyplinach sportu na tych stronach internetowych.

Ponieważ ÖADR i NADA nie uwzględniły wniosków skarżących w postępowaniu głównym, wnieśli oni do Österreichische Datenschutzbehörde (austriackiego organu ochrony danych) skargę na podstawie art. 77 ust. 1 RODO, w której domagali się stwierdzenia naruszenia prawa do usunięcia danych określonego w art. 17 tego rozporządzenia oraz zobowiązania ÖADR i NADA do usunięcia powyższej wzmianki ze wspomnianych stron internetowych. Podnieśli oni, że chodzi tu o szczególną kategorię danych osobowych w rozumieniu art. 9 wspomnianego rozporządzenia oraz o przetwarzanie danych osobowych dotyczących wyroków skazujących i czynów zabronionych w rozumieniu art. 10 tego rozporządzenia. Niezróżnicowany system publikacji przewidziany w prawie austriackim jest niezgodny z art. 6 ust. 3 RODO i nie jest ani konieczny, ani proporcjonalny.

W drodze decyzji z dnia 26 listopada 2021 r. austriacki organ ochrony danych oddalił skargę wniesioną przez AR, DI i RN jako bezzasadną. Organ ten uznał w szczególności, że publikacja rozpatrywanych danych jest konieczna do wypełnienia ciążącego na nim obowiązku prawnego przewidzianego w przepisach antydopingowych i że w konsekwencji prawo do usunięcia danych jest wyłączone na podstawie art. 17 ust. 3 lit. b) RODO. Co się tyczy skargi YT, wspomniany organ oddalił ją ze względu na brak interesu prawnego, ponieważ jego dane nie zostały jeszcze opublikowane.

Skarżący w postępowaniu głównym wnieśli na podstawie art. 78 ust. 1 RODO skargę na tę decyzję do Bundesverwaltungsgericht (federalnego sądu administracyjnego, Austria), który jest sądem odsyłającym. W ramach tej skargi podtrzymali argumentację, którą przedstawili w toku postępowania administracyjnego. Ponadto YT powołał się na to, że w drodze decyzji ÖADR nałożono na niego karę w postaci zawieszenia na okres czterech lat i że publikacja jego danych nastąpi niezwłocznie. NADA podniosła w szczególności, że publikacja odnośnych danych osobowych na jej stronie internetowej jest zgodna z prawem, ponieważ jest konieczna „do wypełnienia” ciążącego na niej „obowiązku prawnego” i do „wykonania zadania realizowanego w interesie publicznym” w rozumieniu art. 6 ust. 1 akapit pierwszy lit. c) i e) RODO. W konsekwencji zgodnie z art. 17 ust. 3 lit. b) tego rozporządzenia nie jest ona zobowiązana do usunięcia tych danych ze swojej strony internetowej.

Sąd odsyłający zawiesił postępowanie główne ze względu na złożenie przez USK wniosku o wydanie orzeczenia w trybie prejudycjalnym w sprawie zakończonej wyrokiem z dnia 7 maja 2024 r., Nada i in. (C‑115/22, EU:C:2024:384). Po oddaleniu tego wniosku jako niedopuszczalnego postępowanie krajowe przed tym sądem zostało wznowione.

W tych okolicznościach Bundesverwaltungsgericht (federalny sąd administracyjny) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:

„1) Czy przetwarzanie danych osób, w następstwie którego ich nazwisko, uprawiana dyscyplina sportu, popełnione naruszenie przepisów antydopingowych, kara oraz początek i koniec kary są publikowane na ogólnodostępnej części strony internetowej [NADA] https://www.nada.at/de/recht/suspendierungen-sperren w formie wpisu w tabeli oraz w ogólnodostępnych komunikatach prasowych [ÖADR] pod adresem https://www.oeadr.at, są objęte zakresem zastosowania prawa Unii w rozumieniu art. 16 ust. 2 zdanie pierwsze TFUE, w związku z czym do takiego przetwarzania danych osobowych ma zastosowanie [RODO]?

W razie udzielenia odpowiedzi twierdzącej na pytanie pierwsze:

2) Czy informacja o tym, że dana osoba dopuściła się określonego naruszenia antydopingowego i z powodu tego naruszenia została wyłączona w związku z dyskwalifikacją z udziału w zawodach (krajowych i międzynarodowych), stanowi »dan[e] dotycząc[e] stanu zdrowia« w rozumieniu art. 9 RODO?

3) Czy [RODO] – w szczególności w świetle art. 6 ust. 3 akapit drugi [RODO] – stoi na przeszkodzie uregulowaniom krajowym przewidującym publikację nazwisk osób, których dotyczy orzeczenie wydane przez [ÖADR] lub [USK], okresu dyskwalifikacji oraz przyczyn dla zastosowania tego środka, przy czym nie ma możliwości wyciągnięcia wniosków co do danych dotyczących zdrowia danej osoby? Czy ma znaczenie fakt, że zgodnie z uregulowaniami krajowymi można zrezygnować z opublikowania tych informacji jedynie w przypadku, gdy osoba, której dane dotyczą, jest sportowcem rekreacyjnym, osobą niepełnoletnią lub osobą, która przez ujawnienie informacji lub inne wskazówki istotnie przyczyniła się do wykrycia potencjalnych naruszeń przepisów antydopingowych?

4) Czy RODO – w szczególności w świetle zasad określonych w art. 5 ust. 1 lit. a) i […] c) – wymaga przed opublikowaniem w każdym wypadku wyważenia interesów, z jednej strony interesów osobistych danej osoby dotkniętej publikacją i z drugiej strony interesu społeczeństwa w informacji dotyczącej naruszenia antydopingowego popełnionego przez sportowca?

5) Czy informacja o tym, że dana osoba dopuściła się określonego naruszenia antydopingowego i z powodu tego naruszenia została wyłączona w związku z dyskwalifikacją z udziału w zawodach (krajowych i międzynarodowych), stanowi przetwarzanie danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych w rozumieniu art. 10 RODO?

W razie udzielenia odpowiedzi twierdzącej na pytanie piąte:

6) Czy działania lub decyzje organu, któremu zgodnie z art. 10 RODO powierzono nadzór nad przetwarzaniem danych osobowych dotyczących karnych wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa powinny podlegać kontroli sądowej?

7) Czy skarga, o której mowa w art. 77 RODO, dotycząca podniesionego naruszenia na podstawie art. 17 RODO, przy czym w momencie wniesienia skargi do organu nadzorczego i wydania przez organ nadzorczy decyzji nie miało jeszcze miejsca przetwarzanie danych osobowych osoby, której dane dotyczą, jednak przetwarzanie wystąpiło w toku postępowania przed sądem rozpoznającym środek prawny, jest dopuszczalna lub stanie się później dopuszczalna, jeżeli w chwili wniesienia skargi istnieją konkretne przesłanki wskazujące, że przetwarzanie danych osobowych przez administratora nastąpi niezwłocznie lub nastąpi w bliskiej przyszłości?”.

W przedmiocie pytań prejudycjalnych

W przedmiocie pytania pierwszego

Poprzez pytanie pierwsze sąd odsyłający zmierza zasadniczo do ustalenia, czy art. 2 ust. 2 lit. a) RODO w związku z art. 16 ust. 2 zdanie pierwsze TFUE należy interpretować w ten sposób, że przetwarzanie danych osobowych na podstawie krajowych przepisów antydopingowych, polegające na publikacji nazwisk sportowców ukaranych za naruszenie tych przepisów, informacji o uprawianej przez nich dyscyplinie sportu, popełnionym naruszeniu wspomnianych przepisów, nałożonej na tych sportowców karze oraz dat początku i końca jej obowiązywania jest objęte przedmiotowym zakresem stosowania prawa Unii i tego rozporządzenia.

Nie ma wątpliwości, że te informacje dotyczące osób ukaranych za naruszenie krajowych przepisów antydopingowych, ponieważ odnoszą się do zidentyfikowanych osób fizycznych, są „danymi osobowymi” w rozumieniu art. 4 pkt 1 RODO, i że ich publikacja na stronach internetowych NADA i ÖADR, w których kompetencjach leży stwierdzenie takich naruszeń i ukaranie za nie, stanowi „przetwarzanie” w rozumieniu art. 4 pkt 2 tego rozporządzenia.

Taka publikacja objęta jest bardzo szeroką definicją materialnego zakresu stosowania RODO, zawartą w jego art. 2 ust. 1 [wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne) (C‑439/19, EU:C:2021:504, pkt 61].

Sąd odsyłający zastanawia się jednak nad tym, czy w zakresie, w jakim rozpatrywane w postępowaniu głównym przetwarzanie danych osobowych wpisuje się w ramy walki z dopingiem, jest ono wyłączone z tego zakresu stosowania na podstawie wyjątku przewidzianego w art. 2 ust. 2 lit. a), w którym uściślono, że to rozporządzenie nie ma zastosowania do przetwarzania danych osobowych „w ramach działalności nieobjętej zakresem prawa Unii”.

Powyższy wyjątek stanowi wdrożenie art. 16 ust. 2 zdanie pierwsze TFUE, który jest podstawą prawną RODO i który powierza Parlamentowi i Radzie określenie nie tylko zasad ochrony osób fizycznych w zakresie przetwarzania danych osobowych w szczególności „przez państwa członkowskie w wykonywaniu działań wchodzących w zakres stosowania prawa Unii”, lecz także zasad swobodnego przepływu takich danych.

Z orzecznictwa Trybunału wynika, że wyjątek od materialnego zakresu stosowania RODO, przewidziany w art. 2 ust. 2 lit. a) tego rozporządzenia, powinien, podobnie jak inne wyjątki, których zamknięty katalog zawiera art. 2 ust. 2 tego rozporządzenia, podlegać ścisłej wykładni [zob. podobnie wyroki: z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 62 i przytoczone tam orzecznictwo; z dnia 16 stycznia 2024 r., Österreichische Datenschutzbehörde, C‑33/22, EU:C:2024:46, pkt 37].

W tym kontekście Trybunał miał już okazję uściślić, że jedynym celem art. 2 ust. 2 lit. a) wspomnianego rozporządzenia, rozpatrywanego w związku z motywem 16 tego rozporządzenia, jest wyłączenie z zakresu stosowania tego rozporządzenia przetwarzania danych osobowych dokonywanego przez organy państwowe w ramach działalności mającej na celu ochronę bezpieczeństwa narodowego lub działalności, która może zostać zaliczona do tej kategorii [wyroki: z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 66; z dnia 16 stycznia 2024 r., Österreichische Datenschutzbehörde, C‑33/22, EU:C:2024:46, pkt 37].

Tymczasem publikacja przez NADA i ÖADR na ich stronach internetowych w ramach walki z dopingiem danych osobowych, o których mowa w pkt 41 niniejszego wyroku, nie stanowi takiego przetwarzania, które wchodziłoby w zakres art. 2 ust. 2 lit. a) RODO.

Należy zatem stwierdzić, podobnie jak uczynił to rzecznik generalny w pkt 45 opinii, że wyjątek od zakresu stosowania RODO, przewidziany w art. 2 ust. 2 lit. a) RODO, nie ma zastosowania do przetwarzania danych takiego jak rozpatrywane w postępowaniu głównym.

Ponadto, jak wskazał rzecznik generalny w pkt 46–59 opinii, stwierdzenia tego nie mogą podważyć argumenty NADA dotyczące, po pierwsze, tego, że polityka antydopingowa jest dziedziną, która zgodnie z podziałem kompetencji przewidzianym w prawie Unii leży w gestii państw członkowskich, niezależnie od kompetencji wspierającej przewidzianej w art. 165 TFUE w dziedzinie sportu, i po drugie, że uprawianie sportu jest działalnością pozbawioną charakteru gospodarczego.

Okoliczność, że przetwarzanie danych osobowych odbywa się w ramach działalności wchodzącej w zakres kompetencji państw członkowskich, nie skutkuje wyłączeniem tego przetwarzania z zakresu stosowania RODO na podstawie jego art. 2 ust. 2 lit. a), o ile ta działalność nie ma na celu ochrony bezpieczeństwa narodowego i nie może zostać zaliczona do tej samej kategorii (zob. podobnie wyrok z dnia 30 kwietnia 2025 r., Inspektorat kam Visshia sadeben savet, C‑313/23, C‑316/23 i C‑332/23, EU:C:2025:303, pkt 104).

Podobnie rzekomo niemające charakteru gospodarczego uprawianie sportu w żaden sposób nie skutkuje umożliwieniem zaliczenia tej działalności do tej samej kategorii, co ochrona bezpieczeństwa narodowego, efektem czego z owego charakteru nie może wynikać objęcie działalności rozpatrywanej w postępowaniu głównym zakresem przewidzianego w tym przepisie wyjątku oraz wyłączenie jej tym samym z zakresu stosowania RODO.

Wniosek ten znajduje zresztą potwierdzenie w motywie 112 RODO, który odnosi się wyraźnie – na podstawie przepisów zawartych w rozdziale V tego rozporządzenia – do możliwości „przekazywania [do państw trzecich lub organizacji międzynarodowych] danych wymaganego i niezbędnego z uwagi na ważne względy interesu publicznego, na przykład […] międzynarodowej wymiany danych […] w celu zmniejszenia lub wyeliminowania dopingu w sporcie”.

W świetle powyższych rozważań na pytanie pierwsze należy odpowiedzieć, że art. 2 ust. 2 lit. a) RODO w związku z art. 16 ust. 2 zdanie pierwsze TFUE należy interpretować w ten sposób, iż przetwarzanie danych osobowych na podstawie krajowych przepisów antydopingowych, polegające na publikacji nazwisk sportowców ukaranych za naruszenie tych przepisów, informacji o uprawianej przez nich dyscyplinie sportu, popełnionym naruszeniu wspomnianych przepisów, nałożonej na tych sportowców karze oraz dat początku i końca jej obowiązywania jest objęte przedmiotowym zakresem stosowania prawa Unii a także zakresem tego rozporządzenia.

W przedmiocie pytania drugiego

Poprzez pytanie drugie sąd odsyłający zmierza zasadniczo do ustalenia, czy art. 9 RODO należy interpretować w ten sposób, że informacja o tym, iż dana osoba dopuściła się określonego naruszenia antydopingowego i z powodu tego naruszenia została wyłączona w związku z dyskwalifikacją z udziału w zawodach krajowych i międzynarodowych, stanowi „dane dotyczące stanu zdrowia” w rozumieniu tego art. 9.

Artykuł 9 RODO dotyczący, jak wskazuje jego tytuł, przetwarzania „szczególnych kategorii” danych osobowych, wprowadza zasadniczo zakaz takiego przetwarzania. Jak bowiem wyraźnie wskazano w motywie 51 tego rozporządzenia, dane osobowe, które z racji swego charakteru są szczególnie wrażliwe w świetle podstawowych praw i wolności, wymagają szczególnej ochrony, gdyż kontekst ich przetwarzania może powodować poważne ryzyko dla podstawowych praw i wolności.

Wśród tych szczególnych kategorii danych osobowych, wymienionych w art. 9 ust. 1 RODO, znajdują się „dane dotyczące zdrowia”. Obejmują one, zgodnie z art. 4 pkt 15 tego rozporządzenia w świetle jego motywu 35, wszystkie dane osobowe ujawniające informacje o przeszłym, obecnym lub przyszłym stanie zdrowia fizycznego lub psychicznego osoby fizycznej, w tym dane dotyczące świadczenia na rzecz tej osoby usług opieki zdrowotnej (wyrok z dnia 4 października 2024 r., Lindenapotheke, C‑21/23, EU:C:2024:846, pkt 76).

W tym względzie Trybunał orzekł, że w świetle celu RODO, jakim jest zagwarantowanie wysokiego poziomu ochrony podstawowych praw i wolności osób fizycznych, a zwłaszcza ich życia prywatnego, w zakresie przetwarzania danych osobowych, które ich dotyczą, pojęcie „danych dotyczących zdrowia”, o którym mowa w art. 9 ust. 1 tego rozporządzenia, należy interpretować szeroko (wyrok z dnia 4 października 2024 r., Lindenapotheke, C‑21/23, EU:C:2024:846, pkt 81 i przytoczone tam orzecznictwo).

W szczególności przepisu tego nie można interpretować w ten sposób, że przetwarzanie danych osobowych, które może ujawnić w sposób pośredni szczególnie chronione informacje dotyczące osoby fizycznej, jest wyłączone spod ustanowionego we wspomnianym przepisie wzmocnionego systemu ochrony, chyba że naruszałoby skuteczność tego systemu i podważało ochronę podstawowych praw i wolności osób fizycznych, które ma on zapewnić (wyrok z dnia 4 października 2024 r., Lindenapotheke, C‑21/23, EU:C:2024:846, pkt 82 i przytoczone tam orzecznictwo).

W związku z tym, aby dane osobowe mogły zostać uznane za „dane dotyczące zdrowia” w rozumieniu art. 9 ust. 1 RODO, wystarczy, że mogą one wskazywać, poprzez intelektualną operację kojarzenia lub dedukcji, na informacje dotyczące stanu zdrowia osoby, której dane dotyczą (wyrok z dnia 4 października 2024 r., Lindenapotheke, C‑21/23, EU:C:2024:846, pkt 83 i przytoczone tam orzecznictwo).

W niniejszym przypadku w § 5 ust. 6, § 21 ust. 3 i § 23 ust. 14 ADBG przewidziano ujawnienie ogółowi społeczeństwa orzeczonych przez ÖADR lub USK dyskwalifikacji i zawieszeń oraz informacji o ich uchyleniu, z podaniem nazwisk danych osób, okresu dyskwalifikacji oraz jej przyczyn, „przy czym nie ma możliwości wyciągnięcia wniosków co do danych dotyczących [ich] zdrowia”.

Niemniej z wniosku o wydanie orzeczenia w trybie prejudycjalnym wynika, że ÖADR wskazuje w komunikatach prasowych publikowanych na swojej stronie internetowej nazwy ewentualnej odnośnej substancji zabronionej.

W tym względzie sąd odsyłający zastanawia się nad tym, czy, w szczególności gdy publikacja informacji o naruszeniu przepisów antydopingowych zawiera wzmiankę o nazwie substancji, którą dana osoba posiadała lub zażyła w celu poprawy wyników, takie dane można uznać za „dane dotyczące zdrowia” w rozumieniu art. 9 ust. 1 RODO.

Zgodnie z orzecznictwem przypomnianym w pkt 57–60 niniejszego wyroku dane dotyczące osób ukaranych za naruszenie krajowych przepisów antydopingowych można uznać za „dane dotyczące zdrowia”, jeżeli mogą one wskazywać, nawet w sposób pośredni, poprzez intelektualną operację kojarzenia lub dedukcji, na informacje o przeszłym, obecnym lub przyszłym stanie zdrowia fizycznego lub psychicznego osoby fizycznej.

Otóż tak może być jedynie w sytuacji, gdy w danej publikacji jest wskazana nazwa lub kategoria substancji lub danej zabronionej metody. Bowiem w braku takiej wzmianki żaden element tej publikacji nie umożliwia co do zasady powiązania stwierdzenia naruszenia krajowych przepisów antydopingowych z jednej strony z informacjami o stanie zdrowia danej osoby z drugiej strony.

Ponadto sama wzmianka o nazwie występującej w organizmie sportowca substancji zabronionej, wynikająca z praktyki ÖADR, jest zwykle niewystarczająca do ujawnienia informacji o stanie zdrowia tego sportowca, nawet przyszłym.

Natomiast nie można wykluczyć, że w połączeniu z innymi informacjami wzmianka o nazwie lub kategorii substancji lub rozpatrywanej zabronionej metody może wskazywać, przynajmniej w sposób pośredni, dzięki intelektualnej operacji kojarzenia lub dedukcji, na informacje o stanie zdrowia osoby, której dane dotyczą, nawet przyszłego.

Dotyczy to w szczególności sytuacji, w której ta osoba zażywa substancję lub stosuje zabronioną metodę ze względu na konkretne schorzenia, lecz nie wystąpiła o pozwolenie na stosowanie substancji w celach terapeutycznych, zgodnie z procedurą określoną w § 12 ADBG.

Do sądu odsyłającego należy zweryfikowanie, w świetle wszystkich istotnych okoliczności charakteryzujących publikacje rozpatrywane w postępowaniu głównym, w szczególności publikacje przez ÖADR i zawierające nazwę danej substancji zabronionej, czy opublikowane informacje stanowią „dane dotyczące zdrowia” w rozumieniu art. 4 pkt 15 i art. 9 ust. 1 RODO w związku z motywem 35 tego rozporządzenia.

W przypadku, gdyby po przeprowadzeniu tej weryfikacji, sąd odsyłający doszedł do wniosku, że rozpatrywane dane faktycznie stanowią „dane dotyczące zdrowia” w rozumieniu art. 9 ust. 1 RODO, ich publikacja byłaby co do zasady zakazana, z zastrzeżeniem jednakże wyjątków przewidzianych w tym art. 9 ust. 2, które należy interpretować w sposób ścisły [zob. podobnie wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 68, 76].

A zatem przy założeniu, że informacje rozpatrywane w postępowaniu głównym stanowią „dane dotyczące zdrowia” w rozumieniu art. 9 ust. 1 RODO, stwierdzenie to nie stanowi przeszkody, jak wynika w szczególności z motywu 51 tego rozporządzenia, aby mogły być przetwarzane, jeżeli spełniony jest jeden z warunków wymienionych w art. 9 ust. 2 RODO.

W braku wyraźnej zgody skarżących w postępowaniu głównym zgodnie ze wspomnianym art. 9 ust. 2 lit. a) RODO publikacja takich danych na stronie internetowej ÖADR mogłaby być w szczególności dopuszczalna na podstawie art. 9 ust. 2 lit. g), pod warunkiem że byłaby niezbędna ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa austriackiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą, czego zweryfikowanie należy do sądu odsyłającego.

Z całości powyższych rozważań wynika, że na pytanie drugie należy odpowiedzieć, iż art. 9 RODO należy interpretować w ten sposób, że informacja o tym, że dana osoba dopuściła się określonego naruszenia antydopingowego i z powodu tego naruszenia została wyłączona w związku z dyskwalifikacją z udziału w zawodach krajowych i międzynarodowych, nie wchodzi co do zasady w zakres pojęcia „danych dotyczących zdrowia” w rozumieniu tego art. 9. Inaczej jest natomiast, w sytuacji gdy taka informacja zawiera wzmiankę o nazwie lub kategorii substancji lub danej zabronionej metody, której dotyczy wspomniane naruszenie, i gdy owa wzmianka w połączeniu z innymi informacjami odnoszącymi się do tej osoby może wskazywać, nawet w sposób pośredni, poprzez intelektualną operację kojarzenia lub dedukcji, na informacje o przeszłym, obecnym lub przyszłym stanie zdrowia fizycznego lub psychicznego wspomnianej osoby.

W przedmiocie pytań trzeciego i czwartego

Poprzez pytania trzecie i czwarte, które należy rozpatrzyć łącznie, sąd odsyłający dąży zasadniczo do ustalenia, czy art. 5 ust. 1 lit. a) i c) oraz art. 6 ust. 3 akapit drugi RODO należy interpretować w ten sposób, że stoją one na przeszkodzie uregulowaniom krajowym nakładającym na krajowe organy antydopingowe obowiązek publikowania danych osobowych dotyczących sportowców ukaranych za naruszenie przepisów antydopingowych, takich jak nazwiska danych sportowców, okres nałożonej na nich dyskwalifikacji oraz jej przyczyny, z wyjątkiem sportowców uprawiających sport rekreacyjnie, osób wymagających szczególnej ochrony i „sygnalistów”.

W tym kontekście sąd ten dąży do ustalenia, czy to rozporządzenie wprowadza wymóg, przed publikacją tych danych, dokonania przez administratora wyważenia wchodzących w grę interesów w każdym indywidualnym przypadku, w celu sprawdzenia proporcjonalności takiej publikacji w świetle indywidualnych okoliczności, czy też wystarczy w tym względzie, by ustawodawca krajowy określił w sposób abstrakcyjny sytuacje, w których z publikacji można lub należy zrezygnować. W tym ostatnim przypadku sąd odsyłający zastanawia się, czy wyjątki przewidziane w ADBG w odniesieniu do sytuacji, które dotyczą sportowców uprawiających sport rekreacyjnie, osób wymagających szczególnej ochrony lub „sygnalistów”, pozwalają zapewnić proporcjonalność publikacji przewidzianych w tych uregulowaniach krajowych.

W tym względzie należy przypomnieć, że każde przetwarzanie danych osobowych powinno, z jednej strony, być zgodne z zasadami dotyczącymi przetwarzania danych określonymi w art. 5 RODO, i, z drugiej strony, odpowiadać jednej z zasad dotyczących zgodności tego przetwarzania z prawem wymienionych w art. 6 ust. 1 tego rozporządzenia [wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 96].

W odniesieniu do zasad dotyczących przetwarzania danych osobowych sąd odsyłający powołuje się w szczególności na zasadę określoną w tym art. 5 ust. 1 lit. a), w myśl której dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą, oraz na zasadę „minimalizacji danych” zawartą w art. 5 ust. 1 lit. c), zgodnie z którą te dane muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w jakich są przetwarzane, i która wyraża wspomnianą zasadę proporcjonalności [wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 98].

Jeśli chodzi o zasady dotyczące zgodności przetwarzania z prawem, art. 6 ust. 1 RODO zawiera wyczerpujący i zamknięty wykaz przypadków, w których przetwarzanie danych osobowych może zostać uznane za zgodne z prawem. A zatem, aby można było uznać je za zgodne z prawem, przetwarzanie powinno być objęte jednym z przypadków przewidzianych w tym art. 6 ust. 1 [wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 99 i przytoczone tam orzecznictwo].

W tym względzie, jak zaznaczył rzecznik generalny w pkt 139 opinii, rozpatrywane w postępowaniu głównym przetwarzanie danych osobowych, a mianowicie publikacja w Internecie przez NADA i ÖADR nazwisk sportowców ukaranych za naruszenie przepisów antydopingowych, informacji o okresie nałożonej na nich dyskwalifikacji oraz o jej przyczynach, z wyjątkiem sportowców uprawiających sport rekreacyjnie, osób wymagających szczególnego traktowania i „sygnalistów”, wynika z § 5 ust. 6 pkt 4 i z § 21 ust. 3 ADBG. Należy zatem uznać, że to przetwarzanie może być objęte przypadkiem, o którym mowa w art. 6 ust. 1 akapit pierwszy lit. c) RODO, na mocy którego przetwarzanie jest zgodne z prawem, w przypadkach, gdy – i w takim zakresie, w jakim – przetwarzanie to jest „niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze”.

Ponadto przetwarzanie to odbywa się w celu walki z dopingiem, a zatem przy wykonywaniu zadania realizowanego w interesie publicznym, co odpowiada zresztą celom realizowanym przez działanie Unii na podstawie art. 165 ust. 2 tiret ostatnie TFUE, a mianowicie w szczególności popieraniu uczciwości we współzawodnictwie sportowym oraz ochronie integralności fizycznej i psychicznej sportowców. W konsekwencji może ono również być objęte przypadkiem, o którym mowa w art. 6 ust. 1 akapit pierwszy lit. e) RODO, zgodnie z którym przetwarzanie jest zgodne z prawem, jeżeli – i w takim zakresie, w jakim – przetwarzanie to jest „niezbędne do wykonania zadania realizowanego w interesie publicznym”.

W odniesieniu do przetwarzania objętego przypadkami zgodności przetwarzania z prawem określonymi w art. 6 ust. 1 akapit pierwszy lit. c) i e) RODO, art. 6 ust. 3 RODO przewiduje w szczególności, że prawo Unii lub prawo państwa członkowskiego, na podstawie którego dochodzi do tego przetwarzania danych, muszą służyć realizacji celu leżącego w interesie publicznym oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu. Trybunał zauważył, że wymogi przewidziane w tym ostatnim przepisie stanowią wyraz wymogów wynikających z art. 52 ust. 1 Karty praw podstawowych Unii Europejskiej (zwanej dalej „Kartą”), w związku z czym należy je interpretować w świetle w szczególności tego ostatniego postanowienia (zob. podobnie wyrok z dnia 1 sierpnia 2022 r., Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, pkt 69).

W tym względzie należy przypomnieć, że zagwarantowane w art. 7 i 8 Karty prawa podstawowe do poszanowania życia prywatnego i ochrony danych osobowych nie są prerogatywami absolutnymi, lecz należy je postrzegać w kontekście ich funkcji społecznej i wyważyć względem innych praw podstawowych. Można więc wprowadzić ograniczenia, pod warunkiem że zgodnie z art. 52 ust. 1 Karty są one przewidziane ustawą i szanują istotę praw podstawowych oraz zasadę proporcjonalności. Na podstawie tej ostatniej zasady ograniczenia mogą być wprowadzone wyłącznie wtedy, gdy są konieczne i rzeczywiście odpowiadają celom interesu ogólnego uznawanym przez Unię lub potrzebom ochrony praw i wolności innych osób. Powinny one mieścić się w granicach tego, co absolutnie konieczne, a uregulowanie dotyczące ingerencji musi zawierać jasne i precyzyjne zasady regulujące zakres i stosowanie danego środka (wyrok z dnia 1 sierpnia 2022 r., Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, pkt 70 i przytoczone tam orzecznictwo).

To w świetle wszystkich tych okoliczności należy zbadać zgodność ustawodawstwa krajowego takiego jak rozpatrywane w postępowaniu głównym z RODO.

W szczególności należy zweryfikować, po pierwsze, czy przewidziana w § 5 ust. 6 pkt 4 i w § 21 ust. 3 ADBG publikacja w Internecie przez NADA i ÖADR nazwisk sportowców ukaranych za naruszenie przepisów antydopingowych, informacji o okresie nałożonej na nich dyskwalifikacji oraz o jej przyczynach, realizuje cel interesu ogólnego, po drugie, czy ta publikacja jest odpowiednia do realizacji zamierzonego celu leżącego w interesie ogólnym, po trzecie, czy wynikająca z takiego dostępu ingerencja w prawa podstawowe zagwarantowane w art. 7 i 8 Karty jest ograniczona do tego, co bezwzględnie konieczne, w tym znaczeniu, że cel ten nie mógłby zostać racjonalnie osiągnięty w sposób równie skuteczny za pomocą innych środków w mniejszym stopniu naruszających te prawa podstawowe zainteresowanych osób, a po trzecie, czy ingerencja ta nie jest nieproporcjonalna w stosunku do wspomnianego celu, co oznacza między innymi wyważenie znaczenia celu i wagi tej ingerencji (zob. podobnie wyrok z dnia 22 listopada 2022 r., Luxembourg Business Registers, C‑37/20 i C‑601/20, EU:C:2022:912, pkt 66).

Po pierwsze, należy stwierdzić, że uregulowania mające na celu walkę z dopingiem w celu utrzymania właściwego, uczciwego, i obiektywnego przebiegu rozgrywek sportowych, zapewnienia równych szans sportowcom, ochrony ich zdrowia, a także poszanowania wartości etycznych w sporcie, realizują cel interesu ogólnego (zob. podobnie wyrok z dnia 18 lipca 2006 r., Meca-Medina i Majcen/Komisja, C‑519/04 P, EU:C:2006:492, pkt 43–45). Ponadto, jak wskazano w pkt 80 niniejszego wyroku, cel ten zalicza się do celów realizowanych przez działanie Unii na podstawie art. 165 ust. 2 tiret ostatnie TFUE.

Po drugie, realizacja tego celu interesu ogólnego może być zapewniona, poza sankcjami nałożonymi w przypadku naruszenia przepisów antydopingowych, poprzez ujawnienie ogółowi społeczeństwa danych osobowych takich jak dane rozpatrywane w postępowaniu głównym. Z jednej strony takie ujawnienie może bowiem zniechęcić sportowców do naruszania tych przepisów, a tym samym zapobiegać dopingowi w sporcie, poprzez przedstawienie ogółowi społeczeństwa popełnionych naruszeń i poprzez poinformowanie osób, które mogłyby sponsorować danego sportowca. Z drugiej strony to ujawnienie przyczynia się do zapobiegania obchodzeniu wspomnianych przepisów, a tym samym do zapewnienia skuteczności nałożonych kar, stanowiąc przeszkodę, poprzez poinformowanie organizatorów zawodów i potencjalnych pracodawców danego sportowca, w jego udziale w zawodach, z których powinien zostać wyłączony.

W konsekwencji publikacja danych dotyczących naruszeń przepisów antydopingowych może przyczynić się do realizacji zamierzonego celu interesu ogólnego, poprzez przyczynianie się do odstraszania i zapobiegania oraz do skuteczności nałożonych kar.

Po trzecie, co do koniecznego charakteru rozpatrywanego obowiązku publikowania, należy zauważyć, że służy on do wzmocnienia orzeczonych kar, które są niezbędne do zapewnienia wykonania zakazu dopingu (zob. podobnie wyrok z dnia 18 lipca 2006 r., Meca-Medina i Majcen/Komisja, C‑519/04 P, EU:C:2006:492, pkt 44).

Niemniej, jak przypomniano w motywie 39 RODO, ów wymóg konieczności nie jest spełniony, jeżeli zamierzony cel interesu ogólnego można racjonalnie osiągnąć w sposób równie skuteczny za pomocą innych środków, w mniejszym stopniu naruszających prawa podstawowe osób, których dane dotyczą, w szczególności prawa do poszanowania życia prywatnego i do ochrony danych osobowych zagwarantowane w art. 7 i 8 Karty, ponieważ odstępstwa od zasady ochrony takich danych i jej ograniczenia powinny być stosowane w granicach tego, co jest ściśle konieczne [wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 110].

Tymczasem nie jest oczywiste, że środki w mniejszym stopniu naruszające prawa do poszanowania życia prywatnego i do ochrony danych osobowych – takie jak zanonimizowane opublikowanie informacji o stwierdzonych naruszeniach przepisów antydopingowych i o nałożonych karach lub publikacja ograniczona do osób odpowiedzialnych za egzekwowanie tych sankcji, takich jak organizatorzy zawodów sportowych i związki sportowe – mogły służyć realizacji celu, o którym mowa w pkt 85 niniejszego wyroku, w sposób równie skuteczny co publikacja rozpatrywanych w postępowaniu głównym danych imiennych na stronach internetowych NADA i ÖADR.

Z jednej strony bowiem kara nałożona za naruszenie przepisów antydopingowych tym lepiej służy realizacji celu polegającego na odstraszaniu i na zapobieganiu – poprzez zachęcanie innych sportowców do niestosowania środka dopingującego, a samego ukaranego sportowca do niestosowania ponownie tego środka – gdy jest podawana do publicznej wiadomości.

Z drugiej strony, z uwagi na specyfikę dopingu w sporcie, w celu zapobiegania obchodzeniu przepisów antydopingowych i zapewnienia skuteczności nałożonych kar, konieczne jest, aby kary te zostały opublikowane i aby tożsamość danego sportowca została ujawniona gronu odbiorców, które nie jest ograniczone do osób odpowiedzialnych za egzekwowanie tych sankcji, takich jak organizatorzy zawodów sportowych i związki sportowe. Niewątpliwie orzeczone wobec danego sportowca wdrożenie wyłączenia w związku z dyskwalifikacją z udziału w zawodach sportowych wymaga w szczególności, by wiedzieli o nim organizatorzy tych zawodów. Jednakże w odniesieniu do sportowców zawodowych publikacja danej sankcji wykraczająca poza ograniczony krąg osób nie wykracza poza to, co jest konieczne w celu poinformowania osób, których ta sankcja pośrednio dotyczy i na których interesy oddziałuje, takich jak obecni lub potencjalni pracodawcy i sponsorzy ukaranego sportowca.

Po czwarte, należy przypomnieć, że nie można dążyć do rozpatrywanego celu interesu ogólnego bez uwzględnienia okoliczności, iż należy pogodzić go z prawami podstawowymi, których dotyczy rozpatrywany środek, dokonując zbilansowanego wyważenia między tym celem interesu ogólnego z jednej strony a tymi prawami z drugiej strony. W konsekwencji, w celu dokonania oceny proporcjonalnego charakteru przetwarzania rozpatrywanego w postępowaniu głównym należy określić wagę ingerencji w prawa podstawowe do poszanowania życia prywatnego i do ochrony danych osobowych, jaka wiąże się z tym przetwarzaniem, oraz sprawdzić, czy znaczenie realizowanego przez to przetwarzanie celu interesu ogólnego pozostaje w związku z tą wagą (zob. podobnie wyrok z dnia 1 sierpnia 2022 r., Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, pkt 98).

W celu dokonania oceny wagi tej ingerencji należy uwzględnić między innymi charakter odnośnych danych osobowych, a w szczególności potencjalnie szczególnie chroniony ich charakter, jak również rodzaj i konkretne warunki ich przetwarzania, w szczególności liczbę osób mających dostęp do tych danych oraz zasady tego dostępu (wyrok z dnia 1 sierpnia 2022 r., Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, pkt 99).

Gdyby sąd odsyłający miał stwierdzić, że opublikowane przez ÖADR informacje rozpatrywane w postępowaniu głównym zawierają wzmiankę o nazwie lub kategorii substancji lub danej zabronionej metody i stanowią zatem „dane dotyczące zdrowia”, zgodnie z okolicznościami wskazanymi w pkt 73 niniejszego wyroku, powinien on nie tylko uwzględnić to w ramach dokonanej przez siebie oceny poszanowania wymogów proporcjonalności wynikających z art. 5 ust. 1 lit. c) i z art. 6 ust. 3 RODO, lecz również zweryfikować, jak wskazano w pkt 70–72 niniejszego wyroku, czy publikacja tych danych spełnia warunki określone w szczególności w art. 9 ust. 2 lit. g) tego rozporządzenia.

W odniesieniu do rozpatrywanego przetwarzania w szczególności przez NADA, która publikuje na swojej stronie internetowej informacje o tożsamości danego sportowca, przy czym nie zamieszcza jednak wzmianki o ewentualnej odnośnej substancji, należy stwierdzić, że taka publikacja wiąże się jednak z poważną ingerencją w prawa podstawowe do poszanowania życia prywatnego i ochrony danych osobowych, ponieważ może spowodować dezaprobatę społeczeństwa oraz prowadzić do stygmatyzacji danej osoby. Co więcej, nieodłącznym elementem tej publikacji jest to, że dane informacje są wówczas dostępne dla potencjalnie nieograniczonej liczby osób. Ponadto po opublikowaniu informacje te mogą zostać zwielokrotnione na innych stronach internetowych i być tym samym nadal dostępne nawet po ich usunięciu ze strony internetowej, na której je pierwotnie opublikowano. Tego rodzaju okoliczności mogą spowodować poważne konsekwencje w odniesieniu do rozpatrywanych praw podstawowych osób, których dane dotyczą.

Wagę tej ingerencji należy zatem wyważyć z wagą celu, dla których dokonuje się danej publikacji.

W tym względzie należy przypomnieć, że pytania trzecie i czwarte dotyczą publikacji danych osobowych odnoszących się do sportowców zawodowych nieobjętych wyjątkami przewidzianymi w ADBG, które dotyczą sportowców uprawiających sport rekreacyjnie, osób wymagających szczególnej ochrony i „sygnalistów”. Publikacja ta nie wiąże się zgodnie z tą ustawą z wymogiem przeprowadzenia żadnej indywidualnej oceny w zależności od okoliczności danego przypadku.

To w tym właśnie kontekście sąd odsyłający dąży do ustalenia, czy RODO wprowadza wymóg – przed publikacją tych danych – dokonania przez administratora wyważenia wchodzących w grę interesów w każdym indywidualnym przypadku, w celu sprawdzenia proporcjonalności takiej publikacji w świetle indywidualnych okoliczności, czy też wystarczy w tym względzie, by ustawodawca krajowy określił w sposób abstrakcyjny sytuacje, w których z publikacji można lub należy zrezygnować.

Jak wynika zatem z §§ 21 i 23 ADBG, prawodawca austriacki, wskazując elementy danej publikacji i wprowadzając pewne wyjątki, przewidział z góry określone sytuacje, niezależnie od okoliczności każdego indywidualnego przypadku. Ujął on zatem tę publikację w pewne ramy i dokonał abstrakcyjnego wyważenia interesu sportowców, których dane osobowe są ujawniane z jednej strony, oraz interesów związanych ze zwalczaniem dopingu z drugiej strony.

Jednakże uwzględniając wagę ingerencji w prawa podstawowe do poszanowania życia prywatnego i ochrony danych osobowych osób, których dane dotyczą, wynikającej, jak wskazano w pkt 96 niniejszego wyroku, z opublikowania online sankcji nałożonych w przypadku naruszenia przepisów antydopingowych, nie można wykluczyć, że w sytuacjach innych niż określone z góry wystąpią szczególne okoliczności, w przypadku których publikacja rozpatrywanych danych okaże się niezgodna z wymogiem zapewniającego równowagę wyważenia różnych wchodzących w grę interesów, które umożliwia w szczególności, by waga ingerencji, jaka wiąże się z rozpatrywaną publikacją, odpowiadała znaczeniu realizowanych celów.

W konsekwencji w sprawach walki z dopingiem w sporcie, o ile art. 5 ust. 1 lit. a) i c) oraz art. 6 ust. 3 akapit drugi RODO nie wprowadzają wymogu, by dokonywać wyważenia w każdym indywidualnym przypadku, o tyle wynika z nich jednak, aby – w przypadku gdy sytuacje z góry określone w uregulowaniach krajowych nie pozwalają same w sobie na zapewnienie przestrzegania zasady proporcjonalności w każdym indywidualnym przypadku – administratorzy należycie uwzględniali okoliczności charakteryzujące dany przypadek i dokonywali na ich podstawie takiego indywidualnego wyważenia przed opublikowaniem rozpatrywanych danych w Internecie.

Wyważenie to powinno również uwzględniać wagę naruszenia przepisów antydopingowych i status osoby, której dane dotyczą, oraz w szczególności to, czy osoba ta jest sławnym sportowcem, który jest powszechnie znany na szczeblu krajowym i międzynarodowym w zakresie swojej konkretnej działalności lub nawet poza nim. Szczególna odpowiedzialność spoczywa bowiem na sportowcach wysokiego szczebla, którzy cieszą się pewną popularnością.

Ponadto, w odniesieniu do czasu trwania publikacji, im dłuższy jest okres danej publikacji, tym znaczniejszy ma to wpływ na interesy i życie prywatne osoby, której dane dotyczą, i tym bardziej rygorystyczne są wymogi w zakresie zgodności tej publikacji z prawem [zob. podobnie wyrok z dnia 7 grudnia 2023 r., SCHUFA Holding (Zwolnienie z pozostałej części długu), C‑26/22 i C‑64/22, EU:C:2023:958, pkt 95]. Tak jest w szczególności wtedy, gdy chodzi o publikację dostępną dla potencjalnie nieograniczonej liczby odbiorców.

Publikacja rozpatrywanych w postępowaniu głównym danych imiennych na stronach internetowych NADA i ÖADR w okresie, który przekracza okres stosowania danych kar, ze względu na wagę ingerencji w prawa podstawowe zagwarantowane w art. 7 i 8 Karty, jaka wiąże się z taką publikacją, nie jest proporcjonalna do znaczenia wyznaczonego celu.

W szczególności w odniesieniu do publikacji rozpatrywanych w postępowaniu głównym danych imiennych na stronach internetowych NADA i ÖADR, której czas trwania odpowiada okresowi stosowania danych kar, należy zauważyć, że kary mogą być nałożone długoterminowo, a nawet bardzo długoterminowo lub mogą być nałożone dożywotnio. Tymczasem, w przypadku gdy dany sportowiec osiągnie w okresie stosowania kar wiek, w którym nie będzie już mógł uprawiać danej aktywności sportowej, publikacja, która ewidentnie przekracza ten wiek, okazuje się co do zasady również nieproporcjonalna. Do administratora należy zatem upewnienie się, na podstawie wszystkich okoliczności danego przypadku, że ingerencja w prawa podstawowe zagwarantowane w art. 7 i 8 Karty, jaka wiąże się z daną publikacją, odpowiada znaczeniu wyznaczonego celu.

W świetle powyższych rozważań na pytania trzecie i czwarte należy odpowiedzieć, że art. 5 ust. 1 lit. a) i c) oraz art. 6 ust. 3 akapit drugi RODO należy interpretować w ten sposób, iż nie stoją one na przeszkodzie uregulowaniom krajowym nakładającym na krajowe organy antydopingowe obowiązek publikowania w Internecie danych osobowych dotyczących wszystkich sportowców ukaranych za naruszenie przepisów antydopingowych, takich jak nazwiska danych sportowców, okres nałożonej na nich dyskwalifikacji oraz jej przyczyny, z wyjątkiem sportowców uprawiających sport rekreacyjnie, osób wymagających szczególnej ochrony i „sygnalistów”, pod warunkiem że uregulowania te pozwalają administratorom poza tymi wyjątkami i przed taką publikacją dokonać indywidualnego wyważenia wchodzących w grę interesów w celu zagwarantowania, że publikacja ta nastąpi w sposób zgodny z tym rozporządzeniem.

W przedmiocie pytania piątego

Poprzez pytanie piąte sąd odsyłający dąży zasadniczo do ustalenia, czy art. 10 RODO należy interpretować w ten sposób, że ma on zastosowanie do przetwarzania danych osobowych dotyczących przewidzianych w krajowych przepisach antydopingowych naruszeń i kar nałożonych za takie naruszenia.

Sąd ten wyjaśnia w tym względzie, że sankcje rozpatrywane w postępowaniu głównym obejmują unieważnienie tytułów i nagród, a także zawieszenie na kilka lat lub dożywotni zakaz udziału we wszelkich zawodach krajowych i międzynarodowych. Wskazuje on ponadto, że zgodnie z § 24 ust. 4 ADBG organizacje sportowe nie mogą zatrudniać osób zdyskwalifikowanych na podstawie prawa antydopingowego.

Poprzez to pytanie sąd odsyłający dąży zatem do ustalenia, czy dane osobowe dotyczące przewidzianych w krajowych przepisach antydopingowych naruszeń i kar nałożonych za takie naruszenia stanowią dane osobowe „dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa” w rozumieniu art. 10 RODO.

Na podstawie tego art. 10 przetwarzania danych tej ostatniej kategorii wolno dokonywać wyłącznie pod nadzorem władz publicznych, chyba że jest dozwolone prawem Unii lub prawem państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw i wolności osób, których dane dotyczą.

W tym względzie należy przypomnieć, że wspomniany art. 10 ma na celu zapewnienie zwiększonej ochrony przed przetwarzaniem, które ze względu na szczególną wrażliwość rozpatrywanych danych może stanowić szczególnie poważną ingerencję w prawa podstawowe do poszanowania życia prywatnego i do ochrony danych osobowych, zagwarantowane w art. 7 i 8 Karty [wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 74 i przytoczone tam orzecznictwo].

W celu ustalenia, czy taki dostęp stanowi przetwarzanie danych osobowych dotyczących „czynów zabronionych” w rozumieniu art. 10 RODO, należy zauważyć, po pierwsze, że pojęcie to odsyła wyłącznie do przestępstw, i że zwiększona ochrona przewidziana w tym artykule jest zastrzeżona wyłącznie do dziedziny prawa karnego, jak wynika w szczególności z genezy RODO; prawodawca Unii świadomie nie użył zatem przymiotnika „administracyjny” we wspomnianym art. 10 RODO [zob. podobnie wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 77, 78].

Po drugie, pojęcie „przestępstwa”, decydujące dla ustalenia, czy art. 10 RODO ma zastosowanie do przetwarzania danych osobowych, takich jak te rozpatrywane w postępowaniu głównym, wymaga w całej Unii autonomicznej i jednolitej wykładni, którą należy przyjąć z uwzględnieniem celu realizowanego przez ten artykuł oraz kontekstu, w jaki się on wpisuje, przy czym kwalifikacja danych przestępstw przyjęta przez dane państwo członkowskie nie jest w tym względzie rozstrzygająca, gdyż może być ona odmienna w różnych państwach członkowskich [zob. podobnie wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 85 i przytoczone tam orzecznictwo].

Po trzecie, należy stwierdzić, że naruszenia i sankcje antydopingowe dotyczą tylko określonej grupy osób, a mianowicie sportowców, i, podobnie jak ma to miejsce w przypadku sankcji dyscyplinarnych, ich celem jest co do zasady zapewnienie przestrzegania zasad postępowania właściwych dla tej grupy przez jej członków.

W tym względzie z orzecznictwa Europejskiego Trybunału Praw Człowieka wynika, że okoliczność, iż przepis, który nakłada karę za określony czyn zabroniony jest skierowany do wszystkich obywateli, przemawia za karnoprawnym charakterem danej sankcji (zob. podobnie wyrok ETPC z dnia 21 lutego 1984 r. w sprawie Öztürk przeciwko Niemcom, CE:ECHR:1984:0221JUD000854479, § 53). Natomiast w odniesieniu do postępowań dyscyplinarnych prowadzonych przed organami samorządu zawodowego, w których bezpośrednio wchodzi w grę prawo do wykonywania zawodu, ów Trybunał orzekł już, że nie ma wątpliwości co do „cywilnego” charakteru rozpatrywanych praw (wyrok ETPC z dnia 2 października 2018 r. w sprawie Mutu i Pechstein przeciwko Szwajcarii, CE:ECHR:2018:1002JUD004057510, § 58).

Tymczasem w odróżnieniu od sprawy, w której zapadł wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne) (C‑439/19, EU:C:2021:504), w której przyznanie punktów karnych za wykroczenia drogowe opierało się na akcie powszechnie obowiązującym, uregulowania krajowe będące przedmiotem postępowania głównego mają zastosowanie do grupy osób, do których odnosi się zbiór szczególnych zasad.

Ponadto celem naruszeń i sankcji antydopingowych przewidzianych w tych uregulowaniach jest nie tylko ochrona społeczeństwa i ukaranie osoby, której dane dotyczą, lecz także w szczególności ochrona uczciwości zawodów sportowych i renomy danej dyscypliny sportowej.

Wynika z tego, że naruszenia przepisów antydopingowych, takie jak rozpatrywane w postępowaniu głównym, nie są objęte pojęciem „czynów zabronionych”, o którym mowa w art. 10 RODO.

W świetle całości powyższych rozważań na pytanie piąte należy odpowiedzieć, iż art. 10 RODO należy interpretować w ten sposób, że nie ma on zastosowania do przetwarzania danych osobowych dotyczących przewidzianych w krajowych przepisach antydopingowych naruszeń i kar nałożonych za takie naruszenia, w sytuacji gdy niezależnie od kwalifikacji tych naruszeń w prawie krajowym wspomniane naruszenia i te kary dotyczą tylko określonej grupy osób, a mianowicie sportowców, podobnie jak ma to miejsce w przypadku sankcji dyscyplinarnych, których celem jest zapewnienie przestrzegania zasad postępowania właściwych dla danej grupy przez jej członków.

W przedmiocie pytania szóstego

W razie udzielenia odpowiedzi twierdzącej na pytanie piąte sąd odsyłający zmierza zasadniczo do ustalenia, czy art. 10 RODO należy interpretować w ten sposób, że decyzje organu, któremu powierzono nadzór nad przetwarzaniem danych osobowych dotyczących karnych wyroków skazujących oraz czynów zabronionych, powinny podlegać kontroli sądowej.

Mając na uwadze odpowiedź przeczącą udzieloną na pytanie piąte, nie ma potrzeby udzielania odpowiedzi na pytanie szóste.

W przedmiocie pytania siódmego

Poprzez pytanie siódme sąd odsyłający zmierza zasadniczo do ustalenia, czy skarga wniesiona do organu nadzorczego na podstawie art. 77 RODO dotycząca podniesionego naruszenia prawa do usunięcia danych, o którym mowa w art. 17 tego rozporządzenia, jest dopuszczalna, w sytuacji gdy przetwarzanie danych osobowych osoby, której dane dotyczą, nie miało jeszcze miejsca ani w dniu wniesienia tej skargi, ani w dniu, w którym ten organ ją rozpatruje, lecz istniały już konkretne przesłanki świadczące o tym, że przetwarzanie danych osobowych przez administratora nastąpi niezwłocznie lub będzie miało miejsce w najbliższej przyszłości. W razie udzielenia odpowiedzi przeczącej sąd ten zastanawia się nad dopuszczalnością a posteriori wspomnianej skargi, jeżeli przetwarzanie ma miejsce później w trakcie postępowania sądowego.

Co się tyczy pierwszej części pytania pierwszego, należy przypomnieć, że art. 77 ust. 1 RODO przewiduje, że każda osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, „jeżeli sądzi, że przetwarzanie danych osobowych jej dotyczące narusza [to] rozporządzenie”. W art. 77 ust. 2 RODO określono informacje, które organ nadzorczy musi dostarczyć podmiotowi wnoszącemu taką skargę.

Zgodnie z utrwalonym orzecznictwem Trybunału przy dokonywaniu wykładni przepisu prawa Unii należy uwzględnić nie tylko jego brzmienie – zgodne z jego zwykłym znaczeniem w języku potocznym – ale także jego kontekst i cel aktu prawnego, którego jest on częścią [wyroki: z dnia 17 listopada 1983 r., Merck, 292/82, EU:C:1983:335, pkt 12; z dnia 9 stycznia 2025 r., Österreichische Datenschutzbehörde (Nadmierne żądania), C‑416/23, EU:C:2025:3, pkt 24].

Po pierwsze, brzmienie art. 77 RODO nie wprowadza terminu na wniesienie skargi dotyczącej przetwarzania danych osobowych stanowiącego domniemane naruszenie tego rozporządzenia ani nie przewiduje sytuacji, w której odnośne przetwarzanie danych osobowych nie miało jeszcze miejsca. Jak zauważył rzecznik generalny w pkt 186 opinii, w artykule tym posłużono się słowem „narusza” w czasie teraźniejszym, co oznacza, że przetwarzanie powinno było już mieć miejsce, przy czym nie wykluczono przypadku przyszłego przetwarzania.

Po drugie, jako element kontekstu należy przywołać zadania i uprawnienia organów nadzorczych. W szczególności zgodnie z art. 57 ust. 1 lit. f) RODO każdy organ nadzorczy jest zobowiązany na swoim terytorium rozpatrzyć skargi, które mogą zostać skierowane zgodnie z art. 77 ust. 1 tego rozporządzenia przez każdą osobę, jeżeli ta sądzi, że przetwarzanie dotyczących jej danych osobowych narusza to rozporządzenie, i przeanalizować w koniecznym zakresie ich przedmiot. Organ nadzorczy jest zobowiązany do rozpatrzenia tej skargi z zachowaniem wymaganej staranności [wyrok z dnia 7 grudnia 2023 r., SCHUFA Holding (Zwolnienie z pozostałej części długu), C‑26/22 i C‑64/22, EU:C:2023:958, pkt 56 i przytoczone tam orzecznictwo].

Ponadto art. 58 ust. 1 RODO przyznaje każdemu organowi nadzorczemu daleko idące uprawnienia w zakresie prowadzonych w tym kontekście postępowań. Jeżeli organ taki po zakończeniu postępowania stwierdzi naruszenie przepisów tego rozporządzenia, jest on zobowiązany zareagować w odpowiedni sposób, aby zaradzić stwierdzonemu brakowi ochrony. W tym względzie w art. 58 ust. 2 RODO wymieniono różnego rodzaju działania naprawcze, jakie organ nadzorczy może podjąć, ponieważ w tym względzie organ ten dysponuje marginesem swobody co do wyboru właściwych i koniecznych środków [wyrok z dnia 7 grudnia 2023 r., SCHUFA Holding (Zwolnienie z pozostałej części długu), C‑26/22 i C‑64/22, EU:C:2023:958, pkt 57, 68].

Wśród tych działań naprawczych organ nadzorczy może na podstawie art. 58 ust. 2 lit. a) RODO wydać ostrzeżenie administratorowi o możliwości naruszenia RODO przez planowane operacje. Przysługują mu zatem uprawnienia o charakterze prewencyjnym.

Z powyższego wynika, że postępowanie skargowe pomyślano jako mechanizm umożliwiający skuteczną ochronę praw i interesów osób, których dane dotyczą [wyrok z dnia 7 grudnia 2023 r., SCHUFA Holding (Zwolnienie z pozostałej części długu), C‑26/22 i C‑64/22, EU:C:2023:958, pkt 58].

Ponadto należy przypomnieć, że w odniesieniu do art. 3 pkt 2 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającej decyzję ramową Rady 2008/977/WSiSW (Dz.U. 2016, L 119, s. 89), Trybunał orzekł, iż każda próba przetwarzania danych może już stanowić przetwarzanie danych [zob. podobnie wyrok z dnia 4 października 2024 r., Bezirkshauptmannschaft Landeck (Próba uzyskania wglądu do danych osobowych przechowywanych w telefonie komórkowym), C‑548/21, EU:C:2024:830, pkt 69–77].

Z powyższych elementów wynika, że w kontekście RODO nie można wykluczyć przyjęcia przez organy nadzorcze w ramach rozpatrywania skarg podejścia zapobiegawczego.

Po trzecie, wykładnię tę potwierdzają cele realizowane przez RODO. Z motywu 10 tego rozporządzenia wynika bowiem w szczególności, że ma ono na celu zapewnienie wysokiego stopnia ochrony osób fizycznych w zakresie przetwarzania danych osobowych w Unii. Ponadto zgodnie z motywem 11 owego rozporządzenia skuteczna ochrona tych danych w całej Unii wymaga wzmocnienia praw osób, których dane dotyczą.

Ograniczenie obowiązku rozpatrywania skarg spoczywającego na organach nadzorczych na podstawie art. 57 ust. 1 lit. f) RODO poprzez dokonanie wykładni art. 77 ust. 1 tego rozporządzenia w ten sposób, że wyklucza on jakąkolwiek możliwość wniesienia skargi do organu nadzorczego, gdy organ ten ma zamiar przystąpić do przetwarzania, byłoby sprzeczne z celami realizowanymi przez wspomniane rozporządzenie, w szczególności z celem służącym zapewnieniu wysokiego stopnia ochrony osób fizycznych w związku z przetwarzaniem danych osobowych w Unii.

W konsekwencji skarga wniesiona na podstawie art. 77 RODO może zostać uznana za dopuszczalną, mimo że przetwarzanie danych osobowych będących przedmiotem tej skargi nie miało jeszcze miejsca w dniu wniesienia przez osobę, której dane dotyczą, wspomnianej skargi do organu nadzorczego, jednakże pod warunkiem że to przetwarzanie nie ma charakteru czysto hipotetycznego.

W postępowaniu głównym sąd odsyłający rozpatruje skargę na decyzję, w drodze której skarga o usunięcie danych została oddalona ze względu na brak interesu prawnego, ponieważ te dane nie zostały jeszcze opublikowane. Skarżący, którego dotyczy postępowanie główne, YT, powołał się w tym względzie na to, że w drodze decyzji ÖADR nałożono na niego karę w postaci zawieszenia na okres czterech lat i że publikacja wspomnianych danych nastąpi zatem niezwłocznie.

Tymczasem skarga o usunięcie danych osobowych oznacza co do zasady, że dane te były przetwarzane. Jest bowiem niemożliwe, aby administrator uwzględnił taką skargę i usunął dane, jeżeli nie zostały one jeszcze ujawnione.

Jednakże, z zastrzeżeniem zweryfikowania tego przez sąd odsyłający, należy stwierdzić, że skarga wniesiona przez YT na podstawie art. 77 RODO zmierzała w rzeczywistości do uniemożliwienia publikacji odnośnych danych osobowych, a nie do ich usunięcia. Skarga ta była zatem dopuszczalna, ponieważ w dniu jej wniesienia do właściwego organu nadzorczego istniały już konkretne przesłanki świadczące o tym, że przetwarzanie tych danych nastąpi niezwłocznie lub będzie miało miejsce w najbliższej przyszłości. Taki wniosek nasuwa się, tym bardziej że przetwarzanie to – a mianowicie publikacja w Internecie nazwiska YT, ponieważ została ona ukarana za naruszenie przepisów antydopingowych, oraz okresu nałożonej na niej dyskwalifikacji – wiąże się, jak stwierdzono w pkt 96 niniejszego wyroku, z poważną ingerencją w prawa podstawowe do poszanowania życia prywatnego i ochrony danych osobowych osoby, której dane dotyczą.

Biorąc pod uwagę całość powyższych rozważań, na pytanie siódme należy odpowiedzieć, że art. 77 RODO należy interpretować w ten sposób, iż skarga wniesiona na podstawie tego artykułu, mająca na celu uniemożliwienie publikacji w Internecie danych osobowych dotyczących naruszenia przepisów antydopingowych, jest dopuszczalna w sytuacji gdy w dniu wniesienia tej skargi do właściwego organu nadzorczego istniały konkretne przesłanki świadczące o tym, że publikacja ta nastąpi niezwłocznie lub będzie miała miejsce w najbliższej przyszłości.

W przedmiocie kosztów

Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.

Z powyższych względów Trybunał (wielka izba) orzeka, co następuje:

1) Artykuł 2 ust. 2 lit. a) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) w związku z art. 16 ust. 2 zdanie pierwsze TFUE

należy interpretować w ten sposób, że:

przetwarzanie danych osobowych na podstawie krajowych przepisów antydopingowych, polegające na publikacji nazwisk sportowców ukaranych za naruszenie tych przepisów, informacji o uprawianej przez nich dyscyplinie sportu, popełnionym naruszeniu wspomnianych przepisów, nałożonej na tych sportowców karze oraz dat początku i końca jej obowiązywania jest objęte zakresem stosowania prawa Unii i zakresem tego rozporządzenia.

2) Artykuł 9 rozporządzenia 2016/679

informacja o tym, że dana osoba dopuściła się określonego naruszenia antydopingowego i z powodu tego naruszenia została wyłączona w związku z dyskwalifikacją z udziału w zawodach krajowych i międzynarodowych, nie wchodzi co do zasady w zakres pojęcia „danych dotyczących zdrowia” w rozumieniu tego art. 9. Inaczej jest natomiast w sytuacji, gdy taka informacja zawiera wzmiankę o nazwie lub kategorii substancji lub danej zabronionej metody, której dotyczy wspomniane naruszenie, i gdy owa wzmianka w połączeniu z innymi informacjami odnoszącymi się do tej osoby może wskazywać, nawet w sposób pośredni, poprzez intelektualną operację kojarzenia lub dedukcji, na informacje o przeszłym, obecnym lub przyszłym stanie zdrowia fizycznego lub psychicznego wspomnianej osoby.

3) Artykuł 5 ust. 1 lit. a) i c) oraz art. 6 ust. 3 akapit drugi rozporządzenia 2016/679

nie stoją one na przeszkodzie uregulowaniom krajowym nakładającym na krajowe organy antydopingowe obowiązek publikowania w Internecie danych osobowych dotyczących wszystkich sportowców ukaranych za naruszenie przepisów antydopingowych, takich jak nazwiska danych sportowców, okres nałożonej na nich dyskwalifikacji oraz jej przyczyny, z wyjątkiem sportowców uprawiających sport rekreacyjnie, osób wymagających szczególnej ochrony i „sygnalistów”, pod warunkiem że uregulowania te pozwalają administratorom poza tymi wyjątkami i przed taką publikacją dokonać indywidualnego wyważenia wchodzących w grę interesów w celu zagwarantowania, że publikacja ta nastąpi w sposób zgodny z tym rozporządzeniem.

4) Artykuł 10 rozporządzenia 2016/679

nie ma on zastosowania do przetwarzania danych osobowych dotyczących przewidzianych w krajowych przepisach antydopingowych naruszeń i kar nałożonych za takie naruszenia, w sytuacji gdy niezależnie od kwalifikacji tych naruszeń w prawie krajowym wspomniane naruszenia i te kary dotyczą tylko określonej grupy osób, a mianowicie sportowców, podobnie jak ma to miejsce w przypadku sankcji dyscyplinarnych, których celem jest zapewnienie przestrzegania zasad postępowania właściwych dla danej grupy przez jej członków.

5) Artykuł 77 rozporządzenia 2016/679

skarga wniesiona na podstawie tego artykułu, mająca na celu uniemożliwienie publikacji w Internecie danych osobowych dotyczących naruszenia przepisów antydopingowych, jest dopuszczalna, w sytuacji gdy w dniu wniesienia tej skargi do właściwego organu nadzorczego istniały konkretne przesłanki świadczące o tym, że publikacja ta nastąpi niezwłocznie lub będzie miała miejsce w najbliższej przyszłości.

Podpisy

* Język postępowania: niemiecki.