Domstolens dom (stora avdelningen) den 14 juli 2026

Preliminär utgåva

DOMSTOLENS DOM (stora avdelningen)

den 14 juli 2026 ( * )

” Begäran om förhandsavgörande – Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning (EU) 2016/679 – Artikel 2 – Materiellt tillämpningsområde – Artiklarna 5 och 6 – Principer beträffande behandling och dess laglighet – Artikel 9 – Begreppet uppgifter om hälsa – Artikel 10 – Begreppet personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott – Kamp mot dopning inom idrotten – Offentliggörande på internet av namnet på en person som överträtt antidopningsreglerna, av den tid som personen är avstängd från deltagande i idrottsevenemang och av skälen till avstängningen – Intresseavvägning – Proportionalitet – Artikel 77 – Rätt att lämna in ett klagomål till en tillsynsmyndighet när ett sådant offentliggörande är nära förestående ”

I mål C‑474/24,

angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Bundesverwaltungsgericht (Federala förvaltningsdomstolen, Österrike) genom beslut av den 28 juni 2024, som inkom till domstolen den 4 juli 2024, i målet

AR,

YT,

DI,

RN

ytterligare deltagare i rättegången:

Österreichische Datenschutzbehörde,

Nationale Anti-Doping Agentur Austria GmbH (NADA Austria),

Österreichische Anti-Doping Rechtskommission (ÖADR),

meddelar

DOMSTOLEN (stora avdelningen)

sammansatt av ordföranden K. Lenaerts, vice ordföranden T. von Danwitz, avdelningsordförandena C. Lycourgos, I. Jarukaitis, M. L. Arastey Sahún, J. Passer (referent), M. Condinanzi och F. Schalin samt domarna E. Regan, N. Piçarra, A. Kumin, N. Jääskinen, B. Smulders, S. Gervasoni och N. Fenger,

generaladvokat: D. Spielmann,

justitiesekreterare: handläggaren R. Şereş,

efter det skriftliga förfarandet och förhandlingen den 13 maj 2025,

med beaktande av de yttranden som avgetts av:

– AR, YT, DI och RN, genom J. Öhlböck, Rechtsanwalt,

– Österreichische Datenschutzbehörde, genom M. Schmidl och E. Wagner, båda i egenskap av ombud,

– Nationale Anti-Doping Agentur Austria GmbH (NADA Austria), genom T. Grünvaldska, A. Schütz, Rechtsanwälte, och K. Van Quathem, advocaat,

– Österrikes regering, genom J. Schmoll och C. Gabauer, båda i egenskap av ombud,

– Lettlands regering, genom J. Davidoviča, K. Pommere och S. Zellis, samtliga i egenskap av ombud,

– Nederländernas regering, genom M.K. Bulterman och H.S. Gijzen, båda i egenskap av ombud,

– Polens regering, genom B. Majczyna, i egenskap av ombud,

– Finlands regering, genom M. Pere, i egenskap av ombud,

– Europeiska kommissionen, genom A. Bouchagiar, M. Heller och H. Kranenborg, samtliga i egenskap av ombud,

och efter att den 25 september 2025 ha hört generaladvokatens förslag till avgörande,

följande

Dom

1 Begäran om förhandsavgörande avser tolkningen av artikel 16.2 första meningen FEUF samt artikel 5.1 a och c, artikel 6.3 andra stycket och artiklarna 9, 10, 17 och 77 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1, och rättelser i EUT L 127, 2018, s. 2, och i EUT L 74, 2021, s. 35) (nedan kallad dataskyddsförordningen).

2 Begäran har framställts i ett mål mellan, å ena sidan, idrottsutövarna AR, YT, DI och RN och, å andra sidan, Nationale Anti-Doping Agentur Austria GmbH (NADA Austria) och Österreichische Anti-Doping Rechtskommission (ÖADR) (Österrikes rättsliga antidopingsnämnd). Målet rör offentliggörandet på internet av flera uppgifter som gör gällande att dessa idrottsutövare brutit mot den österrikiska antidopningslagstiftningen.

Tillämpliga bestämmelser

Världsantidopningskoden

3 Världsantidopningskoden, i den lydelse som var i kraft år 2021 (nedan kallad koden), framtagen av Världsantidopningsbyrån, är den grundläggande texten i den globala kampen mot dopning inom idrotten, såsom framgår av Köpenhamnsförklaringen av den 5 mars 2003 mot dopning inom idrotten. Koden är ett privat instrument som de stater som undertecknat Förenta nationernas internationella konvention mot dopning inom idrotten, vilken undertecknades i Paris den 19 oktober 2005 och trädde i kraft den 1 februari 2007, har åtagit sig att respektera. Samtliga medlemsstater i Europeiska unionen har undertecknat såväl förklaringen som konventionen.

4 I artikel 2.1–2.11 i koden anges kategorierna av överträdelser av antidopningsreglerna.

5 Enligt artikel 2.6 i koden, som avser idrottsutövares och idrottsutövarbiträdens innehav av en förbjuden substans eller bruk av en förbjuden metod, jämförd med artikel 4.4 i koden, är det tillåtet att bruka vissa substanser i medicinskt syfte.

6 Enligt artikel 14.3.2 i koden ska de berörda antidopningsorganisationerna offentligt publicera ”det väsentliga innehållet i beslutet inklusive berörd idrott, regel som överträtts, namnet på den som begått dopingförseelsen, (i förekommande fall) förbjuden substans eller förbjuden metod och de konsekvenser som ålagts”.

Unionsrätt

EUF-fördraget

7 I artikel 16 FEUF föreskrivs följande:

”1. Var och en har rätt till skydd av de personuppgifter som rör honom eller henne.

2. Europaparlamentet och [Europeiska unionens råd] ska i enlighet med det ordinarie lagstiftningsförfarandet fastställa bestämmelser om skydd för enskilda personer när det gäller behandling av personuppgifter hos unionens institutioner, organ och byråer och i medlemsstaterna, när dessa utövar verksamhet som omfattas av unionsrättens tillämpningsområde, samt om den fria rörligheten för sådana uppgifter. Oberoende myndigheter ska kontrollera att dessa bestämmelser följs.

…”

8 Artikel 165 FEUF har följande lydelse:

”…

2. Målen för unionens insatser ska vara att

…

– utveckla idrottens europeiska dimension genom att främja rättvisa och öppenhet i idrottstävlingar och samarbetet mellan organisationer och myndigheter med ansvar för idrott samt genom att skydda idrottsutövarnas fysiska och moraliska integritet, särskilt när det gäller de yngsta utövarna.

…

4. För att bidra till att de mål som anges i denna artikel uppnås, ska

…

– rådet på förslag av [Europeiska] kommissionen anta rekommendationer.”

Dataskyddsförordningen

9 Skälen 10–12, 16, 35, 39, 51 och 112 i dataskyddsförordningen anger följande:

”(10) För att säkra en enhetlig och hög skyddsnivå för fysiska personer och för att undanröja hindren för flödena av personuppgifter inom unionen bör nivån på skyddet av fysiska personers rättigheter och friheter vid behandling av personuppgifter vara likvärdig i alla medlemsstater. En konsekvent och enhetlig tillämpning av bestämmelserna om skydd av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter bör säkerställas i hela unionen. Vad gäller behandlingen av personuppgifter för att fullgöra en rättslig förpliktelse, för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning som utförs av den personuppgiftsansvarige, bör medlemsstaterna tillåtas att behålla eller införa nationella bestämmelser för att närmare fastställa hur bestämmelserna i denna förordning ska tillämpas. Jämte den allmänna och övergripande lagstiftning om dataskydd varigenom [Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31)] genomförs har medlemsstaterna flera sektorsspecifika lagar på områden som kräver mer specifika bestämmelser. Denna förordning ger dessutom medlemsstaterna handlingsutrymme att specificera sina bestämmelser, även för behandlingen av särskilda kategorier av personuppgifter (nedan kallade känsliga uppgifter). Denna förordning utesluter inte att det i medlemsstaternas nationella rätt fastställs närmare omständigheter för specifika situationer där uppgifter behandlas, inbegripet mer exakta villkor för laglig behandling av personuppgifter.

(11) Ett effektivt skydd av personuppgifter över hela unionen förutsätter att de registrerades rättigheter förstärks och specificeras och att de personuppgiftsansvarigas och personuppgiftsbiträdenas skyldigheter vid behandling av personuppgifter klargörs, samt att det finns likvärdiga befogenheter för övervakning och att det säkerställs att reglerna för skyddet av personuppgifter efterlevs och att sanktionerna för överträdelser är likvärdiga i medlemsstaterna.

(12) I artikel 16.2 [FEUF] bemyndigas Europaparlamentet och rådet att fastställa bestämmelser om skydd för fysiska personer när det gäller behandling av personuppgifter och bestämmelser om den fria rörligheten för personuppgifter.

…

(16) Denna förordning är inte tillämplig på frågor som rör skyddet av grundläggande rättigheter och friheter eller det fria flödet av personuppgifter på områden som inte omfattas av unionsrätten, såsom verksamhet rörande nationell säkerhet. Denna förordning är inte tillämplig på medlemsstaternas behandling av personuppgifter när de agerar inom ramen för unionens gemensamma utrikes- och säkerhetspolitik.

…

(35) Personuppgifter om hälsa bör innefatta alla de uppgifter som hänför sig till en registrerad persons hälsotillstånd som ger information om den registrerades tidigare, nuvarande eller framtida fysiska eller psykiska hälsotillstånd. Detta inbegriper uppgifter om den fysiska personen som insamlats i samband med registrering för eller tillhandahållande av hälso- och sjukvårdstjänster till den fysiska personen enligt Europaparlamentets och rådets direktiv 2011/24/EU [av den 9 mars 2011 om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård (EUT L 88, 2011, s. 45)], ett nummer, en symbol eller ett kännetecken som den fysiska personen tilldelats för att identifiera denne för hälso- och sjukvårdsändamål, uppgifter som härrör från tester eller undersökning av en kroppsdel eller kroppssubstans, däribland genetiska uppgifter och biologiska prov, och andra uppgifter om exempelvis sjukdom, funktionshinder, sjukdomsrisk, sjukdomshistoria, klinisk behandling eller den registrerades fysiologiska eller biomedicinska tillstånd, oberoende av källan, exempelvis från en läkare eller från annan sjukvårdspersonal, ett sjukhus, en medicinteknisk produkt eller ett diagnostiskt in vitro-test.

…

(39) Varje behandling av personuppgifter måste vara laglig och rättvis. … Personuppgifterna bör vara adekvata, relevanta och begränsade till vad som är nödvändigt för de ändamål som de behandlas för. Detta kräver i synnerhet att det tillses att den period under vilken personuppgifterna lagras är begränsad till ett strikt minimum. Personuppgifter bör endast behandlas om syftet med behandlingen inte rimligen kan uppnås genom andra medel. För att säkerställa att personuppgifter inte sparas längre än nödvändigt bör den personuppgiftsansvarige införa tidsfrister för radering eller för regelbunden kontroll. …

…

(51) Personuppgifter som till sin natur är särskilt känsliga med hänsyn till grundläggande rättigheter och friheter bör åtnjuta särskilt skydd, eftersom behandling av sådana uppgifter kan innebära betydande risker för de grundläggande rättigheterna och friheterna. … Sådana personuppgifter bör inte behandlas, såvida inte behandling medges i särskilda fall som fastställs i denna förordning, med beaktande av att det i medlemsstaternas lagstiftning får införas särskilda bestämmelser om dataskydd för att anpassa tillämpningen av bestämmelserna i denna förordning i syfte att fullgöra en rättslig skyldighet eller en uppgift av allmänt intresse eller som ett led i myndighetsutövning som den personuppgiftsansvarige har fått i uppgift att utföra. Utöver de särskilda kraven för sådan behandling, bör de allmänna principerna och andra bestämmelser i denna förordning tillämpas, särskilt när det gäller villkoren för laglig behandling. Undantag från det allmänna förbudet att behandla sådana särskilda kategorier av personuppgifter bör uttryckligen fastställas, bland annat om den registrerade lämnar sitt uttryckliga samtycke eller för att tillgodose specifika behov, i synnerhet när behandlingen utförs inom ramen för legitima verksamheter som bedrivs av vissa sammanslutningar eller stiftelser i syfte att göra det möjligt att utöva grundläggande friheter.

…

(112) Dessa undantag bör främst vara tillämpliga på uppgiftsöverföringar som krävs och är nödvändiga med hänsyn till viktiga allmänintressen, exempelvis vid internationella utbyten av uppgifter mellan konkurrensmyndigheter, skatte- eller tullmyndigheter, finanstillsynsmyndigheter, socialförsäkringsmyndigheter, eller med hänsyn till folkhälsan, till exempel vid kontaktspårning för smittsamma sjukdomar eller för att minska och/eller undanröja dopning inom idrott. …”

10 I artikel 2 i dataskyddsförordningen, vars rubrik lyder ”Materiellt tillämpningsområde”, stadgas följande:

”1. Denna förordning ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.

2. Denna förordning ska inte tillämpas på behandling av personuppgifter som

a) utgör ett led i en verksamhet som inte omfattas av unionsrätten,

…”

11 Artikel 4 i dataskyddsförordningen, med rubriken ”Definitioner”, föreskriver följande:

”I denna förordning avses med

1. personuppgifter : varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad ), varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet,

2. behandling : en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring,

…

15. uppgifter om hälsa : personuppgifter som rör en fysisk persons fysiska eller psykiska hälsa, inbegripet tillhandahållande av hälso- och sjukvårdstjänster, vilka ger information om dennes hälsostatus,

…”

12 I artikel 5 (”Principer för behandling av personuppgifter”) i dataskyddsförordningen föreskrivs följande:

”1. Vid behandling av personuppgifter ska följande gälla:

a) Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (laglighet, korrekthet och öppenhet).

…

c) De ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (uppgiftsminimering).

…”

13 Artikel 6 i dataskyddsförordningen har rubriken ”Laglig behandling av personuppgifter”, och fastställer följande:

”1. Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt:

…

c) Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige.

…

e) Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.

…

3. Den grund för behandlingen som avses i punkt 1 c och e ska fastställas i enlighet med

a) unionsrätten, eller

b) en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av.

Syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkt 1 e, ska vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i denna förordning, bland annat: de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling, däribland för behandling i andra särskilda situationer enligt kapitel IX. Unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas.

…”

14 Artikel 9 i dataskyddsförordningen har rubriken ”Behandling av särskilda kategorier av personuppgifter”. Artikeln föreskriver följande:

”1. Behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara förbjuden.

2. Punkt 1 ska inte tillämpas om något av följande gäller:

a) Den registrerade har uttryckligen lämnat sitt samtycke till behandlingen av dessa personuppgifter för ett eller flera specifika ändamål, utom då unionsrätten eller medlemsstaternas nationella rätt föreskriver att förbudet i punkt 1 inte kan upphävas av den registrerade.

…

g) Behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.

…

i) Behandlingen är nödvändig av skäl av allmänt intresse på folkhälsoområdet, såsom behovet av att säkerställa ett skydd mot allvarliga gränsöverskridande hot mot hälsan eller säkerställa höga kvalitets- och säkerhetsnormer för vård och läkemedel eller medicintekniska produkter, på grundval av unionsrätten eller medlemsstaternas nationella rätt, där lämpliga och specifika åtgärder för att skydda den registrerades rättigheter och friheter fastställs, särskilt tystnadsplikt.

…”

15 I artikel 10 i dataskyddsförordningen, vars rubrik lyder ”Behandling av personuppgifter som rör fällande domar i brottmål samt lagöverträdelser som innefattar brott”, stadgas följande:

”Behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 får endast utföras under kontroll av en myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet.”

16 Artikel 17 i dataskyddsförordningen, med rubriken ”Rätt till radering (’rätten att bli bortglömd’)”, lyder enligt följande:

”1. Den registrerade ska ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade och den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter om något av följande gäller:

…

3. Punkterna 1 och 2 ska inte gälla i den utsträckning som behandlingen är nödvändig av följande skäl:

…

b) För att uppfylla en rättslig förpliktelse som kräver behandling enligt unionsrätten eller enligt en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av eller för att utföra en uppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den personuppgiftsansvarige.

…”

17 Kapitel V i dataskyddsförordningen har rubriken ”Överföring av personuppgifter till tredjeländer eller till internationella organisationer” och innehåller artiklarna 44–50.

18 Artikel 57 i förordningen har rubriken ”Uppgifter”. I punkt 1 i denna artikel föreskrivs följande:

”Utan att det påverkar de andra uppgifter som föreskrivs i denna förordning ska varje tillsynsmyndighet på sitt territorium ansvara för följande:

…

f) Behandla klagomål från en registrerad eller från ett organ, en organisation eller en sammanslutning enligt artikel 80, och där så är lämpligt undersöka den sakfråga som klagomålet gäller och inom rimlig tid underrätta den enskilde om hur undersökningen fortskrider och om resultatet, i synnerhet om det krävs ytterligare undersökningar eller samordning med en annan tillsynsmyndighet.

…”

19 I artikel 58 i dataskyddsförordningen, med rubriken ”Befogenheter”, anges i punkt 1 de utredningsbefogenheter som varje tillsynsmyndighet ska ha, medan följande anges i punkt 2:

”Varje tillsynsmyndighet ska ha samtliga följande korrigerande befogenheter

a) Utfärda varningar till en personuppgiftsansvarig eller personuppgiftsbiträdet om att planerade behandlingar sannolikt kommer att bryta mot bestämmelserna i denna förordning.

…”

20 Artikel 77.1 i dataskyddsförordningen, som har rubriken ”Rätt att lämna in klagomål till en tillsynsmyndighet”, föreskriver följande i punkt 1:

”1. Utan att det påverkar något annat administrativt prövningsförfarande eller rättsmedel, ska varje registrerad som anser att behandlingen av personuppgifter som avser henne eller honom strider mot denna förordning ha rätt att lämna in ett klagomål till en tillsynsmyndighet, särskilt i den medlemsstat där han eller hon har sin hemvist eller sin arbetsplats eller där det påstådda intrånget begicks.

2. Den tillsynsmyndighet till vilken klagomålet har ingetts ska underrätta den enskilde om hur arbetet med klagomålet fortskrider och vad resultatet blir, inbegripet möjligheten till rättslig prövning enligt artikel 78.”

21 I artikel 78 i dataskyddsförordningen, som har rubriken ”Rätt till ett effektivt rättsmedel mot tillsynsmyndighetens beslut”, fastställs följande i punkt 1:

”Utan att det påverkar något annat administrativt prövningsförfarande eller prövningsförfarande utanför domstol ska varje fysisk eller juridisk person ha rätt till ett effektivt rättsmedel mot ett rättsligt bindande beslut rörande dem som meddelats av en tillsynsmyndighet.”

Österrikisk rätt

22 1 § i Anti-Doping-Bundesgesetz 2021 (2021 års federala antidopningslag) av den 23 december 2020 (BGBl. I, 152/2020) (nedan kallad ADBG) har rubriken ”Mål med och överträdelser av antidopningsreglerna”. I punkt 1 i nämnda paragraf föreskrivs att ”dopning, på grund av att dess påverkan på den idrottsliga prestationsförmågan, strider mot principen om tävlingsidrott på lika villkor och mot idrottens faktiska inneboende värden (sportsmannaandan), samt medför i synnerhet hälsorisker”.

23 I 5 § ADBG, som har rubriken ”Det oberoende dopningskontrollorganet” anges i punkt 1 att nämnda organ bland annat ska ha till uppgift att, i enlighet med 18 § ADBG, lämna in en begäran om granskning till ÖADR, när det anser att ADBG har åsidosatts, och att vara part i förfarandena vid ÖADR och vid Unabhängige Schiedskommission (Oberoende skiljenämnden, Österrike) (nedan kallad USK), i enlighet med 20 § punkt 2 och 23 § punkt 2 ADBG.

24 I 5 § punkterna 5 och 6 ADBG föreskrivs följande:

”(5) För att utföra uppgifterna som oberoende dopningskontrollorgan finns det ett allmännyttigt bolag med begränsat ansvar, vars firma är Nationale Anti-Doping Agentur Austria GmbH, med förkortningen ’NADA Austria’ [(nedan kallat NADA)]. … Såsom personuppgiftsansvarig i den mening som avses i artikel 4 led 7 i dataskyddsförordningen behandlar [NADA] personuppgifter.

(6) Det oberoende dopningskontrollorganet ska underrätta Österreichische Bundes-Sportorganisation (BSO) [(Österrikes federala idrottsorganisation (BSO), Österrike)], idrottsorganisationer, idrottsutövare, andra personer och tävlingsarrangörer om följande, som ett komplement till 3 §, och kostnadsfritt göra denna information tillgänglig för den breda allmänheten:

1. De organ som har befogenhet att beordra antidopningskontroller.

2. Kriterier för införande i den nationella testpoolen (9 §).

3. Ersättning för kostnaderna för förfarandet för antidopningskontroll.

4. Utan att det påverkar tillämpningen av 21 § punkt 3 och 23 § punkt 14, sådana säkerhetsåtgärder (till exempel avstängning) och förbud avseende idrottsutövare och andra personer som har anmälts till det oberoende dopningskontrollorganet samt hävandet av dessa, med angivande av de berörda personernas namn, förbudets varaktighet och skälen till detta, utan att det är möjligt att dra slutsatser om de registrerades personuppgifter som utgör särskilda kategorier av personuppgifter, särskilt uppgifter om hälsa. Dessa uppgifter kan utelämnas när de avser särskilt utsatta personer och motionsidrottsutövare. Uppgifter om motionsidrottsutövare offentliggörs av folkhälsoskäl när en överträdelse av antidopningsreglerna har konstaterats i enlighet med 1 § punkt 2 leden 3 och 9–11.

5. Uppgifter, inbegripet personuppgifter och särskilda kategorier av personuppgifter, som behandlas samt de ändamål för vilka de behandlas inom ramen för antidopningsåtgärden eller ett förfarande för antidopningskontroll.”

25 I 6 § ADBG, som har rubriken ”Bestämmelser om personuppgiftsskydd”, stadgas följande:

”(1) Det oberoende dopningskontrollorganet har, i egenskap av personuppgiftsansvarig i enlighet med artikel 4 led 7 i dataskyddsförordningen, befogenhet att behandla personuppgifter, i den mån det är nödvändigt för att fullgöra dess uppgifter enligt förevarande federala lag och för tillämpningen av samma lag, särskilt inom ramen för [ÖADR:s] och [USK:s] uppdrag. …

(2) Enligt artiklarna 32–34 i dataskyddsförordningen ska det oberoende dopningskontrollorganet sörja för säkerhet för personuppgifterna och för de särskilda kategorierna av personuppgifter. Behovet av att behandla personuppgifter följer av det faktiska genomförandet av antidopningsreglerna i [koden] och av bestämmelserna i denna federala lag, såvitt de berörda personerna har åtagit sig genom avtal att iaktta koden. Särskilda kategorier av personuppgifter, i synnerhet uppgifter om hälsa, får endast behandlas om det är absolut nödvändigt enligt antidopningsreglerna i denna federala lag eller i koden.

…”

26 I 7 § ADBG, som har rubriken ”[ÖADR]”, föreskrivs följande i punkt 1:

”[ÖADR] är en nämnd som är oberoende i förhållande till statliga organ, enskilda personer och det oberoende dopningskontrollorganet. ÖADR:s ledamöter får inte ha deltagit vare sig i den utredning som avser en idrottsutövare, i beslutet att lämna in en begäran om granskning av en idrottsutövare eller någon annan person, eller i [USK:s] prövning av ÖADR:s beslut, i enlighet med 8 §. ÖADR ska genomföra disciplinära förfaranden för det behöriga federala idrottsförbundet i enlighet med respektive behörigt internationellt idrottsförbunds gällande antidopningsregler (antidopningsförfarande).”

27 I 8 § ADBG, som har rubriken ”[USK]”, föreskrivs följande i punkt 1:

”[USK] är en nämnd som är oberoende i förhållande till statliga organ, enskilda personer och det oberoende dopningskontrollorganet. USK:s ledamöter får inte ha deltagit vare sig i den utredning som avser en idrottsutövare eller någon annan person, i beslutet att lämna in en begäran om granskning av en idrottsutövare eller någon annan person, eller i det beslut, vilket underställs deras prövning, som meddelats av ÖADR själv. Utan att det påverkar tillämpningen av 23 § punkt 10 leden 1 och 2 ska USK inrättas vid det oberoende dopningskontrollorganet för att pröva ÖADR:s beslut i antidopningsförfaranden.”

28 I 12 § ADBG, med rubriken ”Medicinska undantag”, regleras förfarandet för beviljande av tillstånd för bruk av förbjudna substanser i medicinskt syfte.

29 Det föreskrivs i 20 § ADBG, med rubriken ”Förfarande vid [ÖADR]”, att ÖADR är behörig att genomföra antidopningsförfaranden efter det att en begäran om granskning lämnats in av det oberoende dopningskontrollorganet och att fatta beslut i första instans för det fall det behöriga internationella idrottsförbundets antidopningsregler har överträtts.

30 I 21 § ADBG, som har rubriken ”Andra bestämmelser om förfarandet”, föreskrivs följande i punkt 3:

”ÖADR ska senast 20 dagar efter det att beslutet vunnit laga kraft underrätta BSO, idrottsorganisationer, idrottsutövare, andra personer och tävlingsarrangörer samt den breda allmänheten om vidtagna säkerhetsåtgärder (till exempel avstängning) och om beslut som fattats i samband med antidopningsförfaranden och därvid ange den berörda personens namn, längden på och skälen för avstängningen, utan att det är möjligt att dra slutsatser om den berörda personens uppgifter om hälsa. Dessa uppgifter kan utelämnas när de avser särskilt utsatta personer och motionsidrottsutövare samt personer som bidragit avsevärt till att potentiella överträdelser av antidopningsregler upptäckts genom att lämna information eller andra uppgifter. Vad gäller motionsidrottsutövare offentliggörs uppgifterna av folkhälsoskäl när en överträdelse av antidopningsreglerna har konstaterats i enlighet med 1 § punkt 2 leden 3 och 9–11.”

31 I 23 § ADBG, med rubriken ”Förfarande inför [USK]”, anges följande i punkt 14:

”USK ska underrätta BSO, idrottsorganisationer, idrottsutövare, andra personer och tävlingsarrangörer samt den breda allmänheten om sina beslut och därvid ange den berörda personens namn, längden på och skälen för avstängningen, utan att det är möjligt att dra slutsatser om den berörda personens uppgifter om hälsa. Dessa uppgifter kan utelämnas när de avser särskilt utsatta personer och motionsidrottsutövare samt personer som bidragit avsevärt till att potentiella överträdelser av antidopningsregler upptäckts genom att lämna information eller andra uppgifter. Vad gäller motionsidrottsutövare offentliggörs uppgifterna av folkhälsoskäl när en överträdelse av antidopningsreglerna har konstaterats i enlighet med 1 § punkt 2 leden 3 och 9–11.”

32 I 24 § ADBG, med rubriken ”Idrottsorganisationers särskilda skyldigheter”, föreskrivs i punkt 4 att idrottsorganisationer inte får anställa personer som är avstängda i enlighet med antidopningsreglerna.

Målet vid den nationella domstolen och tolkningsfrågorna

33 AR, YT, DI och RN, fyra idrottsutövare, var föremål för olika beslut om avstängning från tävlingar, antingen under en bestämd tid eller permanent. Besluten fattades av ÖADR, efter de antidopningsförfaranden som denna hade genomfört, och av USK, som är behörig att ompröva ÖADR:s beslut.

34 Enligt österrikisk lagstiftning på antidopningsområdet ska NADA, genom en förteckning på sin webbplats, offentliggöra de avstängningar som har beslutats av ÖADR eller USK. Förteckningen innefattar den berörda idrottsutövarens för- och efternamn, den idrottsgren som utövas, den överträdelse av antidopningsreglerna som begåtts samt den sanktion som påförts och under vilken tid denna gäller. ÖADR offentliggör även dessa uppgifter på sin egen webbplats, under rubriken ”Pressmeddelanden”.

35 I oktober 2021 begärde klagandena att ÖADR och NADA skulle stryka deras namn och de aktuella idrottsgrenarna från dessa webbplatser.

36 ÖADR och NADA efterkom inte klagandenas begäran, varför de lämnade in ett klagomål enligt artikel 77.1 i dataskyddsförordningen till Österreichische Datenschutzbehörde (den österrikiska dataskyddsmyndigheten) och begärde fastställelse av att deras rätt till radering enligt artikel 17.1 i förordningen hade kränkts. Klagandena begärde vidare att ÖADR och NADA skulle åläggas att radera deras namn och idrottsgrenarna från dessa webbplatser. De gjorde gällande att det rörde sig om en särskild kategori av personuppgifter, i den mening som avses i artikel 9 i dataskyddsförordningen, och att det var fråga om behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott, i den mening som avses i artikel 10 i nämnda förordning. Enligt klagandena strider den odifferentierande utformning av ordningen för offentliggörande som föreskrivs i den österrikiska lagstiftningen mot artikel 6.3 i dataskyddsförordningen och är varken nödvändig eller proportionerlig.

37 Genom beslut av den 26 november 2021 avslog den österrikiska dataskyddsmyndigheten AR:s, DI:s och RN:s klagomål. Myndigheten ansåg bland annat att offentliggörandet av de aktuella uppgifterna var nödvändigt för att uppfylla en rättslig förpliktelse enligt antidopningsregelverket och att det därför inte förelåg någon rätt till radering i enlighet med artikel 17.3 b i dataskyddsförordningen. Beträffande YT:s klagomål avslogs det med motiveringen att YT saknade ett berättigat intresse av att få saken prövad, eftersom YT:s uppgifter ännu inte hade offentliggjorts.

38 Klagandena överklagade detta beslut med stöd av artikel 78.1 i dataskyddsförordningen till Bundesverwaltungsgericht (Federala förvaltningsdomstolen, Österrike), som är den domstol som begärt förhandsavgörande från EU-domstolen. De vidhöll inför Bundesverwaltungsgericht i huvudsak de argument som de hade framfört under förvaltningsförfarandet. YT uppgav sig dessutom ha blivit avstängd genom ÖADR:s beslut för en period om fyra år och att det därför var nära förestående att YT:s uppgifter skulle offentliggöras. NADA gjorde bland annat gällande att offentliggörandet av de aktuella personuppgifterna på dess webbplats var lagligt, eftersom det var nödvändigt ”för att fullgöra en rättslig förpliktelse” som åvilade detta organ och för att ”utföra en uppgift av allmänt intresse”, i den mening som avses i artikel 6.1 c och e i dataskyddsförordningen. NADA ansåg sig således i enlighet med artikel 17.3 b i förordningen inte vara skyldig att radera dessa uppgifter från sin webbplats.

39 Den hänskjutande domstolen vilandeförklarade det nationella målet, eftersom USK hade lämnat in en begäran om förhandsavgörande i det mål som avgjordes genom domen av den 7 maj 2024, NADA m.fl. (C‑115/22, EU:C:2024:384). Efter det att begäran avvisats återupptogs förfarandet vid nämnda domstol.

40 Mot denna bakgrund beslutade Bundesverwaltungsgericht (Federala förvaltningsdomstolen) att vilandeförklara målet och ställa följande frågor till EU-domstolen:

”1. Omfattas behandling av personuppgifter avseende individer genom vilken deras namn, den idrottsgren som de utövar, den överträdelse av antidopningsreglerna som de har begått, [ålagd] sanktion och början och slutet av sanktionen offentliggörs på den del av [NADA:s webbplats] som är tillgänglig för allmänheten på https://www.nada.at/de/recht/suspendierungen-sperren, i form av en inskrivning i en tabell samt i allmänt tillgängliga pressmeddelanden från [ÖADR] på https://www.oeadr.at , av unionsrättens tillämpningsområde, i den mening som avses i artikel 16.2 första meningen FEUF, vilket får till följd att [dataskyddsförordningen] är tillämplig på sådan behandling av personuppgifter?

Om fråga 1 besvaras jakande:

2. Är en uppgift om att en viss person har begått en viss överträdelse av antidopningsreglerna och avstängts från deltagande i (nationella och internationella) tävlingar på grund av denna överträdelse att anse som en ’uppgift om hälsa’, i den mening som avses i artikel 9 i dataskyddsförordningen?

3. Utgör dataskyddsförordningen – särskilt med hänsyn till artikel 6.3 [andra] stycket i dataskyddsförordningen – hinder för nationell lagstiftning, enligt vilken namnet på en person som berörs av ett beslut som meddelats av [ÖADR] eller av [USK], den tid som avstängningen gäller och skälen till avstängningen ska offentliggöras, utan att det är möjligt att dra slutsatser om den registrerades uppgifter om hälsa? Spelar det i detta sammanhang någon roll att ett offentliggörande av dessa uppgifter för den breda allmänheten enligt den nationella lagstiftningen endast får underlåtas om den registrerade är motionsidrottsutövare, minderårig eller en person som bidragit avsevärt till att potentiella förseelser mot antidopningsregler upptäckts genom att lämna information eller andra uppgifter?

4. Kräver dataskyddsförordningen – i synnerhet med avseende på principerna i artikel 5.1 a och c i förordningen – att det före ett offentliggörande av uppgifter under alla omständigheter ska ske en intresseavvägning mellan den registrerades personliga intressen, som kan beröras av ett offentliggörande, å ena sidan, och allmänhetens intresse av att få information om de överträdelser mot antidopningsregler som en idrottsutövare begått, å andra sidan?

5. Utgör offentliggörandet av uppgiften om att en viss person har begått en viss överträdelse av antidopningsreglerna och avstängts från deltagande i (nationella och internationella) tävlingar på grund av denna överträdelse en behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott, i den mening som avses i artikel 10 i dataskyddsförordningen?

Om fråga 5 besvaras jakande:

6. Måste verksamheten vid eller beslut fattade av en myndighet, som i enlighet med artikel 10 i dataskyddsförordningen har getts i uppdrag att utöva tillsyn över behandlingen av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder, kunna prövas i domstol?

7. Kan ett klagomål enligt artikel 77 i dataskyddsförordningen avseende en påtalad överträdelse av artikel 17 i dataskyddsförordningen tas upp till prövning, eller blir detta möjligt i efterhand, om det redan när klagomålet lämnas in finns konkreta indikationer för att den personuppgiftsansvariges behandling av personuppgifter är nära förestående eller kommer att äga rum inom en snar framtid, fastän den registrerades personuppgifter ännu inte hade behandlats när klagomålet lämnades in till tillsynsmyndigheten och tillsynsmyndigheten fattade ett beslut, men behandlingen äger rum under förfarandet vid appellationsdomstolen?”

Prövning av tolkningsfrågorna

Den första frågan

41 Den hänskjutande domstolen har ställt den första frågan för att få klarhet i huruvida artikel 2.2 a i dataskyddsförordningen, jämförd med artikel 16.2 första meningen FEUF, ska tolkas så, att tillämpningsområdet för unionsrätten och därmed för nämnda förordning omfattar behandling av personuppgifter som består i att, med tillämpning av nationella antidopningsregler, offentliggöra namnen på de idrottsutövare som påförts sanktioner på grund av en överträdelse av dessa regler, den idrottsgren som de utövar, den överträdelse av dessa regler som begåtts, den sanktion som påförts dessa idrottsutövare samt början och slutet av sanktionen.

42 Det är utrett att dessa uppgifter om personer som påförts sanktioner för överträdelser av nationella antidopningsregler utgör ”personuppgifter” i den mening som avses i artikel 4 led 1 i dataskyddsförordningen, eftersom de avser identifierade fysiska personer. Dessutom är det utrett att offentliggörandet av uppgifterna på webbplatserna för NADA och ÖADR, vilka ansvarar för att fastställa och påföra sanktioner för sådana överträdelser, utgör ”behandling” i den mening som avses i artikel 4 led 2 i förordningen.

43 Ett sådant offentliggörande omfattas av den mycket vida definitionen av dataskyddsförordningens materiella tillämpningsområde enligt artikel 2.1 däri (dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning), C‑439/19, EU:C:2021:504, punkt 61).

44 Den hänskjutande domstolen vill emellertid få klarhet i huruvida en sådan behandling av personuppgifter såsom den i det nationella målet, i den mån den ingår i kampen mot dopning, faller utanför detta tillämpningsområde på grundval av undantaget i artikel 2.2 a i dataskyddsförordningen. Enligt denna bestämmelse ska dataskyddsförordningen inte tillämpas på behandling av personuppgifter som ”utgör ett led i en verksamhet som inte omfattas av unionsrätten”.

45 Undantaget utgör ett genomförande av artikel 16.2 första meningen FEUF, som är den rättsliga grunden för dataskyddsförordningen. Bestämmelsen föreskriver att parlamentet och rådet ska fastställa bestämmelser dels om skydd för enskilda personer när det gäller behandling av personuppgifter i bland annat ”medlemsstaterna, när dessa utövar verksamhet som omfattas av unionsrättens tillämpningsområde”, dels om den fria rörligheten för sådana uppgifter.

46 Det framgår av EU-domstolens praxis att det undantag från dataskyddsförordningens materiella tillämpningsområde som föreskrivs i artikel 2.2 a i förordningen, i likhet med de övriga undantag som uttömmande räknas upp i artikel 2.2 i förordningen, ska ges en restriktiv tolkning (se, för ett liknande resonemang, dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning), C‑439/19, EU:C:2021:504, punkt 62 och där angiven rättspraxis, och dom av den 16 januari 2024, Österreichische Datenschutzbehörde, C‑33/22, EU:C:2024:46, punkt 37).

47 EU-domstolen har i detta avseende redan preciserat att artikel 2.2 a i dataskyddsförordningen, jämförd med skäl 16 i förordningen, har som enda syfte att från förordningens tillämpningsområde undanta behandling av personuppgifter som statliga myndigheter utför som ett led i en verksamhet som syftar till att upprätthålla nationell säkerhet eller en verksamhet som kan placeras i samma kategori (dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning), C‑439/19, EU:C:2021:504, punkt 66, och dom av den 16 januari 2024, Österreichische Datenschutzbehörde, C‑33/22, EU:C:2024:46, punkt 37).

48 Det offentliggörande av personuppgifterna enligt punkt 41 ovan som NADA och ÖADR utför på sina webbplatser inom ramen för sin antidopningsverksamhet, utgör inte en sådan behandling som omfattas av artikel 2.2 a i dataskyddsförordningen.

49 I likhet med vad generaladvokaten har påpekat i punkt 45 i sitt förslag till avgörande är undantaget från dataskyddsförordningens tillämpningsområde enligt artikel 2.2 a i dataskyddsförordningen således inte tillämpligt på en sådan behandling av personuppgifter som den som är aktuell i det nationella målet.

50 Såsom generaladvokaten har angett i punkterna 46–59 i sitt förslag till avgörande påverkas inte detta konstaterande av NADA:s argument avseende dels att antidopningspolitiken, i enlighet med den befogenhetsfördelning som föreskrivs i unionsrätten, ankommer på medlemsstaterna, trots den stödjande befogenhet som föreskrivs på idrottsområdet i artikel 165 FEUF, dels att idrottsutövning är en verksamhet utan ekonomisk karaktär.

51 Den omständigheten att en behandling av personuppgifter utförs inom ramen för en verksamhet som omfattas av medlemsstaternas behörighet medför således inte att denna behandling undantas från dataskyddsförordningens tillämpningsområde med tillämpning av artikel 2.2 a i förordningen, förutsatt att denna verksamhet inte syftar till att värna den nationella säkerheten och inte kan hänföras till samma kategori (se, för ett liknande resonemang, dom av den 30 april 2025, Inspektorat kam Visshia sadeben savet, C‑313/23, C‑316/23 och C‑332/23, EU:C:2025:303, punkt 104).

52 På samma sätt innebär idrottsutövandets påstått icke-ekonomiska karaktär inte på något sätt att denna verksamhet kan hänföras till samma kategori som värnande av den nationella säkerheten. Denna karaktär kan därmed inte ha som verkan att den verksamhet som är aktuell i det nationella målet omfattas av det undantag som föreskrivs i denna bestämmelse och därmed faller utanför dataskyddsförordningens tillämpningsområde.

53 Denna slutsats stöds för övrigt av skäl 112 i dataskyddsförordningen, som uttryckligen tar upp möjligheten, med tillämpning av bestämmelserna i kapitel V i förordningen, till ”uppgiftsöverföringar [till tredjeländer eller internationella organisationer] som krävs och är nödvändiga med hänsyn till viktiga allmänintressen, exempelvis vid internationella utbyten av uppgifter … för att minska och/eller undanröja dopning inom idrott”.

54 Mot bakgrund av det ovan anförda ska den första frågan besvaras på följande sätt. Artikel 2.2 a i dataskyddsförordningen, jämförd med artikel 16.2 första meningen FEUF, ska tolkas så, att tillämpningsområdet för unionsrätten och därmed för nämnda förordning omfattar behandling av personuppgifter som består i att, med tillämpning av nationella antidopningsregler, offentliggöra namnen på de idrottsutövare som påförts sanktioner på grund av en överträdelse av dessa regler, den idrottsgren som de utövar, den överträdelse av dessa regler som begåtts, den sanktion som ålagts dessa idrottsutövare samt början och slutet av sanktionen.

Den andra frågan

55 Den hänskjutande domstolen har ställt den andra frågan för att få klarhet i huruvida artikel 9 i dataskyddsförordningen ska tolkas så, att information om att en viss person har begått en viss överträdelse av antidopningsreglerna och avstängts från deltagande i nationella och internationella tävlingar på grund av denna överträdelse omfattas av begreppet uppgifter om hälsa, i den mening som i avses i nämnda artikel 9.

56 Artikel 9 i dataskyddsförordningen avser, såsom framgår av dess rubrik, behandlingen av ”särskilda kategorier” av personuppgifter, vilken den i princip förbjuder. Av skäl 51 i dataskyddsförordningen framgår nämligen uttryckligen att personuppgifter som till sin natur är särskilt känsliga med hänsyn till grundläggande fri- och rättigheter bör åtnjuta särskilt skydd, eftersom behandling av sådana uppgifter kan innebära betydande risker för dessa fri- och rättigheter.

57 Artikel 9.1 i dataskyddsförordningen innehåller en uppräkning av dessa särskilda kategorier av personuppgifter, och dit hör ”uppgifter om hälsa”. Av artikel 4 led 15, i jämförelse med skäl 35 i dataskyddsförordningen, framgår att uppgifter om hälsa omfattar samtliga personuppgifter som avslöjar information om en fysisk persons tidigare, nuvarande eller framtida fysiska eller psykiska hälsotillstånd, däribland uppgifter om tillhandahållande av hälso- och sjukvårdstjänster till denna person (dom av den 4 oktober 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, punkt 76).

58 I detta avseende har EU-domstolen redan slagit fast att syftet med dataskyddsförordningen – som är att säkerställa en hög skyddsnivå för fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av deras personuppgifter – kräver att begreppet ”uppgifter om hälsa” i artikel 9.1 i dataskyddsförordningen ges en vid tolkning (dom av den 4 oktober 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, punkt 81 och där angiven rättspraxis).

59 I synnerhet gäller att denna bestämmelse inte kan tolkas på ett sätt som medför att behandling av personuppgifter som indirekt kan avslöja känslig information om en fysisk person undantas från den särskilda skyddsreglering som föreskrivs i nämnda bestämmelse, eftersom detta skulle vara i strid med regleringens ändamålsenliga verkan och det skydd för fysiska personers grundläggande fri- och rättigheter som den syftar till att säkerställa (dom av den 4 oktober 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, punkt 82 och där angiven rättspraxis).

60 Vad som nu anförts innebär att det är en tillräcklig förutsättning för att personuppgifter ska kunna anses utgöra ”uppgifter om hälsa”, i den mening som avses i artikel 9.1 i dataskyddsförordningen, att uppgifterna till sin karaktär är sådana att de, genom associering eller slutledning, kan avslöja information om den registrerades hälsotillstånd (dom av den 4 oktober 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, punkt 83 och där angiven rättspraxis).

61 I förevarande fall föreskriver 5 § punkt 6, 21 § punkt 3 och 23 § punkt 14 ADBG att de avstängningar och förbud som ÖADR eller USK har beslutat om samt hävandet av dessa ska offentliggöras för den breda allmänheten, med angivande av de berörda personernas namn, förbudets varaktighet och skälen till detta, ”utan att det är möjligt att dra slutsatser om deras uppgifter om hälsa”.

62 Det framgår emellertid av begäran om förhandsavgörande att ÖADR i de pressmeddelanden som publicerats på dess webbplats angett namnet på den förbjudna substans som eventuellt är i fråga.

63 Den hänskjutande domstolen vill i detta avseende få klarhet i huruvida namnet på en substans som den berörda personen har innehaft eller brukat i syfte att öka sin prestationsförmåga kan anses utgöra ”uppgifter om hälsa” i den mening som avses i artikel 9.1 i dataskyddsförordningen, särskilt när namnet på denna substans offentliggörs vid en överträdelse av antidopningsreglerna.

64 Enligt rättspraxis (se punkterna 57–60 ovan) kan uppgifter om personer som påförts sanktioner för att ha överträtt nationella antidopningsregler kvalificeras som ”uppgifter om hälsa” när de, genom associering eller slutledning, kan avslöja information, även indirekt, om en fysisk persons tidigare, nuvarande eller framtida fysiska eller psykiska hälsotillstånd.

65 Så kan vara fallet endast när namnet på eller kategorin av den förbjudna substansen eller förbjudna metoden anges i det material som offentliggörs. När detta inte anges i materialet finns det nämligen heller inte någon uppgift som i princip gör det möjligt att koppla konstaterandet av en överträdelse av nationella antidopningsregler till information om den berörda personens hälsotillstånd.

66 Vidare är, såsom ÖADR:s praxis påvisar, enbart angivandet av namnet på den förbjudna substans som påträffats i en idrottsutövares kropp i allmänhet otillräckligt för att avslöja information om idrottsutövarens – även framtida – hälsotillstånd.

67 Det kan däremot inte uteslutas att angivandet av namnet på eller kategorin av den förbjudna substansen eller förbjudna metoden, genom associering eller slutledning, åtminstone indirekt kan avslöja information om den registrerades hälsotillstånd, i förekommande fall även för framtiden, när ett sådant angivande kombineras med annan information.

68 Detta gäller särskilt när personen i fråga brukar en förbjuden substans eller förbjuden metod på grund av ett visst hälsotillstånd, men utan att ha ansökt om tillstånd för bruk i medicinskt syfte i enlighet med det förfarande som föreskrivs i 12 § ADBG.

69 Det ankommer på den hänskjutande domstolen att pröva huruvida den offentliggjorda informationen utgör ”uppgifter om hälsa” i den mening som avses i artikel 4 led 15 och artikel 9.1 i dataskyddsförordningen, jämförda med skäl 35 däri, mot bakgrund av samtliga omständigheter som utmärker de offentliggöranden som är aktuella i det nationella målet, bland annat ÖADR:s offentliggöranden, där namnet på den ifrågavarande förbjudna substansen anges.

70 För det fall den hänskjutande domstolen, efter denna prövning, skulle komma fram till att de aktuella uppgifterna faktiskt utgör ”uppgifter om hälsa” i den mening som avses i artikel 9.1 i dataskyddsförordningen, följer det därav att det i princip är förbjudet att offentliggöra dem, dock med förbehåll för de undantag som föreskrivs i artikel 9.2 i dataskyddsförordningen, vilka ska tolkas restriktivt (se, för ett liknande resonemang, dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:C:2023:537, punkterna 68 och 76).

71 Även om det antas att information av nu aktuellt slag utgör ”uppgifter om hälsa” i den mening som avses i artikel 9.1 i dataskyddsförordningen, utgör en sådan slutsats inte hinder för att informationen kan bli föremål för behandling, om något av villkoren i punkt 2 i samma artikel är uppfyllt. Detta framgår av bland annat skäl 51 i dataskyddsförordningen.

72 I avsaknad av ett uttryckligt samtycke från klagandena i det nationella målet, i enlighet med nämnda artikel 9.2 a i dataskyddsförordningen, skulle offentliggörande av sådana uppgifter på ÖADR:s webbplats kunna vara tillåtet bland annat med stöd av artikel 9.2 g i förordningen. Detta förutsätter att behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller österrikisk rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Det ankommer på den hänskjutande domstolen att företa denna prövning.

73 Den andra frågan ska mot bakgrund av ovan anförda överväganden besvaras enligt följande. Artikel 9 i dataskyddsförordningen ska tolkas så, att information om att en viss person har begått en viss överträdelse av antidopningsreglerna och avstängts från deltagande i nationella och internationella tävlingar på grund av denna överträdelse i princip inte omfattas av begreppet uppgifter om hälsa, i den mening som i avses i nämnda artikel 9. Det förhåller sig däremot annorlunda när sådan information anger namnet på eller kategorin av den förbjudna substans eller förbjudna metod som överträdelsen avser och angivandet, i kombination med annan information om denna person, genom associering eller slutledning, kan avslöja information, även indirekt, om nämnda persons tidigare, nuvarande eller framtida fysiska eller psykiska hälsotillstånd.

Den tredje och den fjärde frågan

74 Den hänskjutande domstolen har ställt den tredje och den fjärde frågan, vilka ska prövas tillsammans, för att få klarhet i huruvida artikel 5.1 a och c samt artikel 6.3 andra stycket i dataskyddsförordningen ska tolkas så, att de utgör hinder för en nationell lagstiftning som ålägger nationella antidopningsorgan en skyldighet att offentliggöra personuppgifter om idrottsutövare som påförts sanktioner på grund av en överträdelse av antidopningsreglerna, såsom namnet på de berörda idrottsutövarna, varaktigheten av det förbud de belagts med och skälen till detta, med undantag för motionsidrottsutövare, särskilt utsatta personer och ”visselblåsare”.

75 Den hänskjutande domstolen vill i detta sammanhang få klarhet i huruvida förordningen ställer krav på att en personuppgiftsansvarig, innan dessa uppgifter offentliggörs, gör en intresseavvägning från fall till fall för att kontrollera huruvida ett sådant offentliggörande är proportionerligt med hänsyn till de individuella omständigheterna, eller om det härvidlag är tillräckligt att den nationella lagstiftaren på ett abstrakt sätt fastställer de situationer i vilka ett offentliggörande får eller ska underlåtas. I det sistnämnda fallet vill den hänskjutande domstolen få klarhet i huruvida undantagen enligt ADBG för situationer beträffande motionsidrottsutövare, särskilt utsatta personer eller ”visselblåsare” gör det möjligt att säkerställa att offentliggöranden som görs med stöd av denna nationella lagstiftning är proportionerliga.

76 I detta hänseende måste all behandling av personuppgifter både överensstämma med de principer om uppgiftsbehandling som anges i artikel 5 i dataskyddsförordningen och svara mot någon av de i artikel 6.1 uppräknade principer som gör att behandlingen kan tillåtas (dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning), C‑439/19, EU:C:2021:504, punkt 96).

77 Vad gäller principerna om behandling av personuppgifter har den hänskjutande domstolen särskilt hänvisat till de två principer som avses i artikel 5.1 a och c. Enligt principen i artikel 5.1 a ska personuppgifter behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade, medan principen i artikel 5.1 c om ”uppgiftsminimering” slår fast att dessa uppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas samt ger uttryck för proportionalitetsprincipen (dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning), C‑439/19, EU:C:2021:504, punkt 98).

78 Vad gäller principerna för behandlingens laglighet, innehåller artikel 6.1 i dataskyddsförordningen en uttömmande och begränsande uppräkning av de fall där behandling av personuppgifter kan anses vara tillåten. Således måste en behandling för att kunna betraktas som laglig vara hänförlig till något av de fall som anges i nämnda artikel 6.1 (dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning), C‑439/19, EU:C:2021:504, punkt 99 och där angiven rättspraxis).

79 Den behandling av personuppgifter som är aktuell i det nationella målet, det vill säga NADA:s och ÖADR:s offentliggörande på internet av namnen på de idrottsutövare som påförts sanktioner på grund av att de överträtt antidopningsreglerna, av varaktigheten av det förbud de belagts med samt av skälen till detta, följer av 5 § punkt 6 led 4 och 21 § punkt 3 ADBG, vilket även påpekats av generaladvokaten i punkt 139 i förslaget till avgörande. Följaktligen kan denna uppgiftsbehandling anses omfattas av grunden i artikel 6.1 första stycket c i dataskyddsförordningen, vari det föreskrivs behandlingen är laglig om och i den mån den är ”nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige”.

80 Behandlingen sker dessutom i syfte att bekämpa dopning och således för att utföra en uppgift av allmänt intresse, vilken för övrigt motsvarar de mål som eftersträvas med unionens åtgärder enligt artikel 165.2 sista strecksatsen FEUF, det vill säga att bland annat främja rättvisa i idrottstävlingar och skydda idrottsutövarnas fysiska och moraliska integritet. Behandlingen kan därmed även omfattas av den första situationen enligt artikel 6.1 första stycket e i dataskyddsförordningen, som fastställer att behandling är laglig om och i den mån den är ”nödvändig för att utföra en uppgift av allmänt intresse”.

81 När det gäller behandling som hör till de fall av laglig behandling som anges i artikel 6.1 första stycket c och e i dataskyddsförordningen föreskriver artikel 6.3 i dataskyddsförordningen bland annat att den unionsrätt eller medlemsstaternas nationella rätt som ligger till grund för behandlingen ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. EU-domstolen har konstaterat att kraven i sistnämnda bestämmelse utgör ett uttryck för de krav som följer av artikel 52.1 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan), varför de ska tolkas mot bakgrund av bland annat denna bestämmelse i stadgan (se, för ett liknande resonemang, dom av den 1 augusti 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punkt 69).

82 Det erinras i detta avseende om att de grundläggande rättigheterna avseende respekt för privatlivet och skydd för personuppgifter, vilka garanteras i artiklarna 7 och 8 i stadgan, inte utgör några absoluta rättigheter, utan ska förstås utifrån sin uppgift i samhället och vägas mot andra grundläggande rättigheter. Begränsningar får således göras, förutsatt att de, i enlighet med vad som anges i artikel 52.1 i stadgan, är föreskrivna i lag och förenliga med det väsentliga innehållet i de grundläggande rättigheterna och proportionalitetsprincipen. Enligt proportionalitetsprincipen får begränsningar endast göras om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors fri- och rättigheter. Begränsningarna får inte gå utöver vad som är strikt nödvändigt, och den lagstiftning som innebär ett ingrepp måste innehålla tydliga och precisa bestämmelser som reglerar räckvidden och tillämpningen av den aktuella åtgärden (dom av den 1 augusti 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punkt 70 och där angiven rättspraxis).

83 Det är mot bakgrund av samtliga dessa faktorer som det ska prövas huruvida en sådan nationell lagstiftning som den nu aktuella är förenlig med dataskyddsförordningen.

84 I synnerhet ska det, för det första, prövas huruvida NADA:s och ÖADR:s offentliggörande, i enlighet med 5 § punkt 6 led 4 och 21 § punkt 3 ADBG, på internet av namnen på de idrottsutövare som påförts sanktioner på grund av att de överträtt antidopningsreglerna, av varaktigheten av det förbud de belagts med samt av skälen till detta, eftersträvar ett mål av allmänintresse. För det andra ska det prövas huruvida offentliggörandet är en lämplig åtgärd för att uppnå det eftersträvade målet av allmänt intresse. Det ska, för det tredje, prövas huruvida det ingrepp i de grundläggande rättigheter som garanteras i artiklarna 7 och 8 i stadgan som följer av ett sådant offentliggörande är begränsat till vad som är absolut nödvändigt, i den meningen att målet inte rimligen kan uppnås lika effektivt med andra medel som är mindre ingripande i de berörda personernas grundläggande rättigheter. Prövningen ska, för det fjärde, klargöra huruvida ingreppet inte är oproportionerligt i förhållande till detta mål, vilket bland annat innebär en avvägning av målets betydelse och ingreppets allvar (se, för ett liknande resonemang, dom av den 22 november 2022, Luxembourg Business Registers, C‑37/20 och C‑601/20, EU:C:2022:912, punkt 66).

85 För det första ska det konstateras att bestämmelser vars syfte är bekämpning av dopning för att säkerställa att idrottstävlingar genomförs på ett rättvist sätt, så att tävlingarnas integritet och objektivitet garanteras, samt att garantera lika möjligheter för idrottsutövarna, skydda idrottsutövarnas hälsa och se till att idrottens etiska värden respekteras, eftersträvar ett mål av allmänintresse (se, för ett liknande resonemang, dom av den 18 juli 2006, Meca-Medina och Majcen/kommissionen, C‑519/04 P, EU:C:2006:492, punkterna 43–45). Såsom har påpekats i punkt 80 ovan ingår detta mål bland de mål som eftersträvas med unionens åtgärder enligt artikel 165.2 sista strecksatsen FEUF.

86 För det andra kan eftersträvandet av detta mål av allmänintresse säkerställas inte bara genom antagandet av sanktioner vid överträdelser av antidopningsreglerna, utan även genom att sådana personuppgifter som de som är aktuella i det nationella målet offentliggörs för den breda allmänheten. Ett offentliggörande på det sättet kan nämligen avskräcka idrottsutövare från att bryta mot dessa regler och därmed förhindra dopning inom idrotten, på så sätt att allmänheten blir upplyst om de begångna överträdelserna och den berörda idrottsutövarens sponsorer blir informerade om dem. Därutöver bidrar ett sådant offentliggörande till att undvika att nämnda regler kringgås, på så sätt att den berörda idrottsutövaren, genom att tävlingsarrangörer och den berörda idrottsutövarens potentiella arbetsgivare informeras, hindras från att delta i tävlingar som vederbörande är avstängd från. Detta säkerställer att de sanktioner som påförs är verkningsfulla.

87 Offentliggörandet av uppgifter om överträdelser av antidopningsreglerna är således en lämplig åtgärd för uppnåendet av det eftersträvade målet av allmänintresse, eftersom det bidrar till att avskräcka från och förebygga dopning samt till att de påförda sanktionerna blir effektiva.

88 Vad för det tredje gäller huruvida den aktuella skyldigheten att offentliggöra uppgifter är nödvändig, tjänar den till att förstärka de påförda sanktionerna, vilka i sin tur är nödvändiga för att säkerställa att dopningsförbudet efterlevs (se, för ett liknande resonemang, dom av den 18 juli 2006, Meca-Medina och Majcen/kommissionen, C‑519/04 P, EU:C:2006:492, punkt 44).

89 Såsom erinras i skäl 39 i dataskyddsförordningen är detta krav på nödvändighet emellertid inte uppfyllt när det eftersträvade målet av allmänintresse rimligen kan uppnås på ett lika effektivt sätt genom andra medel som i mindre utsträckning inskränker de registrerades grundläggande rättigheter, särskilt rätten till respekt för privatlivet och rätten till skydd för personuppgifter enligt artiklarna 7 och 8 i stadgan, och undantag från och inskränkningar av principen om skydd för personuppgifter får inte gå utöver vad som är strikt nödvändigt (dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning), C‑439/19, EU:C:2021:504, punkt 110).

90 Inget tyder på att åtgärder som i mindre utsträckning inskränker de registrerades rätt till respekt för privatlivet och skydd av personuppgifter – såsom anonymiserat offentliggörande av de konstaterade överträdelserna av antidopningsreglerna och av de sanktioner som påförts, eller ett offentliggörande som endast riktar sig till dem som har till uppgift att se till att dessa sanktioner efterlevs, såsom tävlingsarrangörer och idrottsföreningar – skulle kunna uppnå det mål som avses i punkt 85 ovan på ett lika effektivt sätt som offentliggörandet av uppgifter, inbegripet namn, såsom de nu aktuella på NADA:s och ÖADR:s webbplatser.

91 En sanktion som påförs för överträdelser av antidopningsreglerna uppnår nämligen i än högre grad det avskräckande och förebyggande syftet, genom att förmå andra idrottsutövare att avhålla sig från att bruka ett dopningspreparat och avleda den idrottsutövare som själv påförts sanktioner från att på nytt bruka sådana preparat, eftersom sanktionen synliggörs.

92 Dessutom är det, med hänsyn till dopningens särdrag på idrottsområdet, nödvändigt att de ålagda sanktionerna offentliggörs och att den ifrågavarande idrottsutövarens identitet röjs för en publik som inte är begränsad till de personer som har till uppgift att se till att sanktionerna efterlevs, såsom tävlingsarrangörer och idrottsföreningar, för att undvika att antidopningsreglerna kringgås och säkerställa att sanktionerna är effektiva. För att det förbud mot att delta i idrottstävlingar som den berörda idrottsutövaren belagts med ska få en verkan i praktiken krävs visserligen att det i synnerhet är arrangörerna av dessa tävlingar som känner till förbudet. När det gäller professionella idrottsutövare framstår det emellertid som om offentliggörandet av den aktuella sanktionen utanför en begränsad krets av personer inte går utöver vad som är nödvändigt i syfte att informera de personer som sanktionen indirekt berör och vars intressen den påverkar, såsom arbetsgivaren och befintliga eller potentiella sponsorer för den idrottare som påförts sanktionen.

93 För det fjärde kan det aktuella målet av allmänintresse inte uppnås utan att det beaktas att målet måste vara förenligt med de grundläggande rättigheter som berörs av den aktuella åtgärden, varvid en balanserad avvägning ska göras mellan, å ena sidan, målet av allmänintresse, och, å andra sidan, dessa rättigheter. Vid bedömningen av huruvida den aktuella personuppgiftsbehandlingen är proportionerlig ska det följaktligen bedömas hur allvarligt det ingrepp i de grundläggande rättigheterna avseende respekt för privatlivet och skydd för personuppgifter som behandlingen innebär är och kontrolleras huruvida betydelsen av det mål av allmänintresse som eftersträvas med behandlingen är proportionell mot ingreppet (se, för ett liknande resonemang, dom av den 1 augusti 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punkt 98).

94 Vid bedömningen av hur allvarligt ingreppet är ska hänsyn bland annat tas till vilken typ av personuppgifter det är fråga om, i synnerhet till att det kan vara fråga om känsliga uppgifter. Vidare ska det tas hänsyn till vilken typ av behandling de aktuella personuppgifterna genomgår och hur denna konkret går till, varvid särskild hänsyn ska tas till hur många personer som har tillgång till personuppgifterna och till formerna för åtkomst till dessa (dom av den 1 augusti 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punkt 99).

95 Om den hänskjutande domstolen konstaterar att information som den nu aktuella, som ÖADR har offentliggjort, anger namnet på eller kategorin av den förbjudna substansen eller förbjudna metoden och utgör ”uppgifter om hälsa”, utifrån de omständigheter som anges i punkt 73 ovan, ska den hänskjutande domstolen inte bara beakta denna information när den bedömer huruvida de proportionalitetskrav som följer av artikel 5.1 c och artikel 6.3 i dataskyddsförordningen har iakttagits. Såsom har påpekats i punkterna 70–72 ovan ska den nämligen även pröva huruvida offentliggörandet av dessa uppgifter uppfyller de villkor som uppställs i bland annat artikel 9.2 g i förordningen.

96 Vad gäller den aktuella behandlingen som utförs av bland annat NADA, som offentliggör den berörda idrottsutövarens identitet på sin webbplats, dock utan att nämna den substans som det kan röra sig om, innebär en sådan publicering icke desto mindre ett allvarligt ingrepp i den grundläggande rätten till respekt för privatlivet och skydd för personuppgifter. Behandlingen kan nämligen väcka ett ogillande från samhällets sida och leda till att den registrerade stigmatiseras. Dessutom innebär detta offentliggörande att den aktuella informationen oundvikligt kan nås fritt av ett eventuellt obegränsat antal personer. När denna information väl har offentliggjorts kan den därutöver återges på andra webbplatser och förbli tillgänglig även efter det att informationen har raderats från den webbplats där den ursprungligen offentliggjordes. Sådana omständigheter kan förvärra konsekvenserna med avseende på de registrerades grundläggande rättigheter.

97 Allvaret av detta ingrepp ska således vägas mot betydelsen av det mål som eftersträvas med offentliggörandet.

98 I detta hänseende avser den tredje och den fjärde frågan offentliggörande av personuppgifter om professionella idrottsutövare som inte omfattas av de undantag som föreskrivs i ADBG, vilka avser motionsidrottsutövare, särskilt utsatta personer och ”visselblåsare”. Nämnda lag ger inte något utrymme för någon individuell bedömning av omständigheterna i det enskilda fallet, vid ett sådant offentliggörande.

99 Det är mot denna bakgrund som den hänskjutande domstolen vill få klarhet i huruvida dataskyddsförordningen ställer krav på att en personuppgiftsansvarig, innan dessa uppgifter offentliggörs, gör en intresseavvägning från fall till fall för att kontrollera huruvida ett sådant offentliggörande är proportionerligt med hänsyn till de individuella omständigheterna, eller om det härvidlag är tillräckligt att den nationella lagstiftaren på ett abstrakt sätt fastställer de situationer i vilka ett offentliggörande får eller ska underlåtas.

100 Såsom framgår av 21 och 23 §§ ADBG har den österrikiska lagstiftaren föreställt sig förutbestämda situationer oberoende av omständigheterna i varje enskilt fall, genom att närmare ange vilka uppgifter ifrågavarande offentliggörande ska innehålla och genom att föreskriva vissa undantag. Lagstiftaren har därmed reglerat offentliggörandet och gjort en abstrakt avvägning mellan intressena hos de idrottsutövare vars personuppgifter lämnas ut och intressena kopplade till bekämpning av dopning.

101 Med hänsyn till det allvarliga ingrepp i de registrerades grundläggande rätt till respekt för privatlivet och skydd för personuppgifter som, såsom påpekats i punkt 96 ovan, följer av att sanktionerna för dopningsförseelser läggs ut på internet, kan det emellertid inte uteslutas att det, utöver dessa förutbestämda situationer, finns särskilda omständigheter under vilka ett offentliggörande av de aktuella uppgifterna visar sig vara oförenligt med kravet på en balanserad avvägning mellan de olika berörda intressena, vilket gör det möjligt bland annat att ställa allvaret i det ingrepp som offentliggörandet medför i förhållande till betydelsen av de eftersträvade målen.

102 När det således gäller kampen mot dopning inom idrotten kräver artikel 5.1 a och c samt artikel 6.3 andra stycket i dataskyddsförordningen visserligen inte att det görs en individuell avvägning i samtliga fall. Bestämmelserna innebär dock att de personuppgiftsansvariga, när de situationer som förutbestämts i den nationella lagstiftningen inte i sig gör det möjligt att säkerställa att proportionalitetsprincipen iakttas i varje enskilt fall, vederbörligen beaktar omständigheterna i ett visst fall och gör en sådan individuell avvägning på grundval av dessa omständigheter innan de offentliggör de aktuella uppgifterna på internet.

103 Vid denna avvägning bör hänsyn även tas till hur allvarlig överträdelsen av antidopningsreglerna är och till den registrerades ställning samt, i synnerhet, till huruvida den registrerade är en högprofilerad idrottsutövare som är känd på nationell eller internationell nivå inom sin specifika idrottsverksamhet eller till och med utanför denna. Idrottsutövare på hög nivå som åtnjuter en viss kändisstatus har nämligen ett särskilt högt ansvar.

104 Vad vidare gäller offentliggörandets varaktighet gäller det förhållandet att ju längre det aktuella offentliggörandet pågår, desto större blir konsekvenserna för den registrerades intressen och privatliv, och desto större blir kraven på att offentliggörandet bland annat är proportionerligt (se, för ett liknande resonemang, dom av den 7 december 2023, SCHUFA Holding (Skuldsanering), C‑26/22 och C‑64/22, EU:C:2023:958, punkt 95). Detta är särskilt fallet när det rör sig om ett offentliggörande som är tillgängligt för ett potentiellt obegränsat antal mottagare.

105 Att hålla den information, inbegripet namn, som är aktuell i det nationella målet offentliggjord på NADA:s och ÖADR:s webbplatser under en längre tid än den period under vilken de aktuella sanktionerna gäller är oproportionerligt i förhållande till betydelsen av det eftersträvade målet, med hänsyn till det allvarliga ingrepp som ett sådant offentliggörande innebär i de grundläggande rättigheter som stadfästs i artiklarna 7 och 8 i stadgan.

106 Vad närmare bestämt avser att den information som är aktuell i det nationella målet hållits offentliggjord, inbegripet med namn, på NADA:s och ÖADR:s webbplatser lika länge som sanktionerna gäller, påpekar EU-domstolen att sanktionerna kan gälla under en lång eller till och med mycket lång tid – faktiskt ända upp till livstid. Likaså framstår i princip ett offentliggörande som uppenbart sträcker sig bortom den ålder då den berörda idrottsutövaren inte längre kommer att ha förmågan att utöva den aktuella idrottsverksamheten som oproportionerligt. Det ankommer således på den personuppgiftsansvarige att, med utgångspunkt i samtliga omständigheter i det enskilda fallet, försäkra sig om att det ingrepp som det aktuella offentliggörandet innebär i de grundläggande rättigheter som stadfästs i artiklarna 7 och 8 i stadgan står i proportion till betydelsen av det eftersträvade målet.

107 Mot bakgrund av det ovan anförda ska den tredje och den fjärde frågan besvaras enligt följande. Artikel 5.1 a och c samt artikel 6.3 andra stycket i dataskyddsförordningen ska tolkas så, att de inte utgör hinder för en nationell lagstiftning som ålägger nationella antidopningsorgan en skyldighet att på internet offentliggöra personuppgifter om samtliga idrottsutövare som påförts sanktioner på grund av en överträdelse av antidopningsreglerna, såsom namnet på de berörda idrottsutövarna, varaktigheten av det förbud de belagts med och skälen till detta, med undantag för motionsidrottsutövare, särskilt utsatta personer och ”visselblåsare”, under förutsättning att denna lagstiftning gör det möjligt för de personuppgiftsansvariga att, utöver nämnda undantag och före ett sådant offentliggörande, göra en individuell intresseavvägning för att säkerställa att offentliggörandet sker i enlighet med nämnda förordning.

Den femte frågan

108 Den hänskjutande domstolen har ställt den femte frågan för att få klarhet i huruvida artikel 10 i dataskyddsförordningen ska tolkas så, att den är tillämplig på en sådan behandling av personuppgifter som avser överträdelser enligt nationell antidopningslagstiftning och sanktioner för sådana överträdelser.

109 Den hänskjutande domstolen har i detta hänseende preciserat att sanktionerna i det nationella målet omfattar fråntagande av titlar och prispengar och förbud mot deltagande i samtliga nationella och internationella tävlingar i flera år eller på livstid. Den har vidare angett att idrottsorganisationer enligt 24 § punkt 4 ADBG inte får anställa personer som är avstängda i enlighet med antidopningslagstiftningen.

110 Den hänskjutande domstolen har således ställt denna fråga för att få klarhet i huruvida personuppgifter avseende överträdelser enligt nationell antidopningslagstiftning och avseende de sanktioner som påförs vid sådana överträdelser utgör personuppgifter ”som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder”, i den mening som avses i artikel 10 i dataskyddsförordningen.

111 Enligt nämnda artikel 10 får behandling av denna kategori av uppgifter endast utföras under kontroll av en myndighet, förutom om behandlingen är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades fri- och rättigheter fastställs.

112 Syftet med artikel 10 är att säkerställa ett utökat skydd mot sådan behandling som, på grund av att uppgifterna i fråga är särskilt känsliga, kan utgöra ett särskilt allvarligt ingrepp i den grundläggande rätten till respekt för privatlivet och skydd för personuppgifter enligt artiklarna 7 och 8 i stadgan (dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning), C‑439/19, EU:C:2021:504, punkt 74 och där angiven rättspraxis).

113 När det gäller frågan om huruvida det rör sig om behandling av personuppgifter avseende ”lagöverträdelser som innefattar brott”, i den mening som avses i artikel 10 i dataskyddsförordningen, när allmänheten ges tillgång till sådan information, ska det för det första påpekas att detta begrepp uteslutande avser brott och att det utökade skydd som föreskrivs i denna artikel är förbehållet det straffrättsliga området, vilket bland annat följer av förberedelsearbetet inför antagandet av dataskyddsförordningen, av vilken det framgår att unionslagstiftaren avsiktligt har avstått från att ta med adjektivet ”administrativ” i artikel 10 (se, för ett liknande resonemang, dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning), C‑439/19, EU:C:2021:504, punkterna 77 och 78).

114 För det andra ska begreppet brott, vilket är avgörande för att fastställa huruvida artikel 10 i dataskyddsförordningen är tillämplig på personuppgifter såsom de som är aktuella i det nationella målet, ges en självständig och enhetlig tolkning inom hela unionen, med beaktande av det mål som eftersträvas med denna artikel och det sammanhang i vilket den förekommer. Det ska därvidlag inte tillmätas avgörande betydelse hur de aktuella överträdelserna kvalificeras i den berörda medlemsstaten, då denna kvalificering kan variera från en medlemsstat till en annan (se, för ett liknande resonemang, dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning), C‑439/19, EU:C:2021:504, punkt 85 och där angiven rättspraxis).

115 För det tredje avser överträdelserna och sanktionerna i fråga om antidopning endast en viss grupp av personer, nämligen idrottsutövare, och i likhet med disciplinära sanktioner syftar de till att säkerställa att de som ingår i denna grupp iakttar de uppföranderegler som gäller för gruppen.

116 Det framgår i detta hänseende av rättspraxis från Europeiska domstolen för de mänskliga rättigheterna att den omständigheten att en bestämmelse som fastställer en sanktion för en viss överträdelse riktar sig till samtliga medborgare talar för att sanktionen är av straffrättslig karaktär (se, för ett liknande resonemang, Europadomstolen, 21 februari 1984, Öztürk mot Tyskland, CE:ECHR:1984:0221JUD000854479, § 53). Vad däremot gäller ett disciplinärt förfarande vid korporativa organ, inom ramen för vilket rätten att utöva ett yrke står på spel, har Europadomstolen redan slagit fast att det inte råder något tvivel om att de aktuella rättigheterna är ”civilrättsliga” (Europadomstolen, 2 oktober 2018, Mutu och Pechstein mot Schweiz, CE:ECHR:2018:1002JUD004057510, § 58).

117 Till skillnad från det mål som avgjordes genom domen av den 22 juni 2021, Latvijas Republikas Saeima (Prickning) (C‑439/19, EU:C:2021:504), i vilket prickning på grund av överträdelser av trafikreglerna grundade sig på en allmänt tillämplig text, är den nu aktuella nationella lagstiftningen tillämplig på en grupp av personer som omfattas av ett särskilt regelverk.

118 Därutöver syftar de bestämmelser om överträdelser och sanktioner i fråga om antidopning som föreskrivs i denna lagstiftning inte bara till att skydda samhället och bestraffa de inblandade, utan även till att bland annat bevara idrottstävlingarnas integritet och den aktuella idrottsgrenens anseende.

119 Härav följer att överträdelser av antidopningsregler, såsom de nu aktuella, inte omfattas av begreppet ”lagöverträdelser som innefattar brott” i artikel 10 i dataskyddsförordningen.

120 Med hänsyn till det ovan anförda ska den femte frågan besvaras enligt följande. Artikel 10 i dataskyddsförordningen ska tolkas så, att den inte är tillämplig på behandling av personuppgifter avseende dels överträdelser som föreskrivs i nationell antidopningslagstiftning, dels sanktioner som påförs för sådana överträdelser, eftersom dessa överträdelser och sanktioner, oberoende av hur överträdelserna kvalificeras i nationell rätt, endast avser en viss grupp av personer, nämligen idrottsutövare, i likhet med disciplinära sanktioner som syftar till att säkerställa att de som ingår i en grupp iakttar de uppföranderegler som gäller för gruppen.

Den sjätte frågan

121 Om den femte frågan besvaras jakande vill den hänskjutande domstolen få klarhet i huruvida artikel 10 i dataskyddsförordningen ska tolkas så, att beslut som fattas av en myndighet som utövar tillsyn över behandlingen av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott ska kunna prövas i domstol.

122 Med hänsyn till att den femte frågan besvarats nekande, saknas anledning att besvara den sjätte frågan.

Den sjunde frågan

123 Den hänskjutande domstolen har ställt den sjunde frågan för att få klarhet i huruvida ett klagomål som lämnats in till en tillsynsmyndighet med stöd av artikel 77 i dataskyddsförordningen, avseende ett påstått åsidosättande av rätten till radering enligt artikel 17 i förordningen, kan tas upp till prövning när behandlingen av den registrerades personuppgifter ännu inte har ägt rum, vare sig vid den tidpunkt då klagomålet lämnades in eller vid den tidpunkt då myndigheten fattade beslut om klagomålet, men det redan funnits konkreta indikationer för att den personuppgiftsansvariges behandling av personuppgifter var nära förestående eller skulle äga rum inom en nära framtid. För det fall nämnda delfråga besvaras nekande vill den hänskjutande domstolen få klarhet i huruvida klagomålet kan tas upp till prövning i efterhand, när behandlingen sker senare under domstolsförfarandet.

124 Vad gäller den första delfrågan erinrar EU-domstolen om att artikel 77.1 i dataskyddsförordningen föreskriver att varje registrerad ”som anser att behandlingen av personuppgifter som avser henne eller honom strider mot denna förordning” ska ha rätt att lämna in ett klagomål till en tillsynsmyndighet. I artikel 77.2 i dataskyddsförordningen anges vilken information som tillsynsmyndigheten ska lämna till den som lämnar in ett sådant klagomål.

125 Det framgår av EU-domstolens fasta rättspraxis att vid tolkningen av en unionsbestämmelse ska inte bara ordalydelsen beaktas, i enlighet med ordens sedvanliga betydelse i vanligt språkbruk, utan också sammanhanget och de mål som eftersträvas med de föreskrifter som bestämmelsen ingår i (dom av den 17 november 1983, Merck, 292/82, EU:C:1983:335, punkt 12, och dom av den 9 januari 2025, Österreichische Datenschutzbehörde (Orimlig begäran), C‑416/23, EU:C:2025:3, punkt 24).

126 För det första innehåller ordalydelsen i artikel 77 i dataskyddsförordningen inte någon tidsfrist för att lämna in ett klagomål avseende sådan behandling av personuppgifter som utgör ett påstått åsidosättande av denna förordning, och den tar heller inte upp det fallet att den aktuella behandlingen av personuppgifter ännu inte har ägt rum. Såsom generaladvokaten har påpekat i punkt 186 i sitt förslag till avgörande används verbet ”strider” i denna artikel, vilket förutsätter att behandlingen redan ska ha ägt rum, men en situation med framtida behandling utesluts inte.

127 För det andra ska, vad gäller sammanhanget, nämnas vilka uppdrag och befogenheter som tillsynsmyndigheterna har. I synnerhet är varje tillsynsmyndighet enligt artikel 57.1 f i dataskyddsförordningen skyldig att inom sitt territorium behandla klagomål som var och en enligt artikel 77.1 i förordningen har rätt att inge när vederbörande anser att en behandling av personuppgifter som rör honom eller henne utgör ett åsidosättande av nämnda förordning, och i den utsträckning det är nödvändigt pröva syftet med behandlingen. Tillsynsmyndigheten ska utreda ett sådant klagomål med vederbörlig omsorg (dom av den 7 december 2023, SCHUFA Holding (Skuldsanering), C‑26/22 och C‑64/22, EU:C:2023:958, punkt 56 och där angiven rättspraxis).

128 Vidare ger artikel 58.1 i dataskyddsförordningen varje tillsynsmyndighet betydande utredningsbefogenheter för att behandla de klagomål som lämnas in. När en sådan myndighet, efter att ha avslutat sin utredning, konstaterar att bestämmelserna i denna förordning har åsidosatts, är den skyldig att vidta lämpliga åtgärder för att avhjälpa den konstaterade bristen. I artikel 58.2 i nämnda förordning anges de olika korrigerande åtgärder som tillsynsmyndigheten kan vidta i detta sammanhang. Den har i detta hänseende ett utrymme för skönsmässig bedömning i fråga om valet av lämpliga och nödvändiga åtgärder (dom av den 7 december 2023, SCHUFA Holding (Skuldsanering), C‑26/22 och C‑64/22, EU:C:2023:958, punkterna 57 och 68).

129 Bland dessa korrigerande åtgärder kan tillsynsmyndigheten, enligt artikel 58.2 a i dataskyddsförordningen, utfärda varningar till en personuppgiftsansvarig om att planerade behandlingar sannolikt kommer att bryta mot bestämmelserna i dataskyddsförordningen. Tillsynsmyndigheten har således befogenheter av förebyggande karaktär.

130 Klagomålsförfarandet är i linje med detta utformat som en mekanism som är ägnad att på ett effektivt sätt skydda de registrerades rättigheter och intressen (dom av den 7 december 2023, SCHUFA Holding (Skuldsanering), C‑26/22 och C‑64/22, EU:C:2023:958, punkt 58).

131 Vad gäller artikel 3 led 2 i Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (EUT L 119, 2016, s. 89), har EU-domstolen slagit fast att redan försök att behandla uppgifter kan utgöra behandling av uppgifter (se, för ett liknande resonemang, dom av den 4 oktober 2024, Bezirkshauptmannschaft Landeck (Försök att bereda sig tillgång till personuppgifter som finns lagrade i en mobiltelefon), C‑548/21, EU:C:2024:830, punkterna 69–77).

132 Härav framgår att ett förebyggande ingripande från tillsynsmyndigheternas sida vid behandlingen av klagomål inte kan uteslutas inom ramen för dataskyddsförordningen.

133 För det tredje vinner denna tolkning stöd av de mål som eftersträvas med dataskyddsförordningen. Det framgår nämligen av förordningens skäl 10 att den har till syfte att säkra en hög skyddsnivå för fysiska personer vid behandling av personuppgifter inom unionen. I skäl 11 i förordningen anges vidare att ett effektivt skydd av dessa personuppgifter över hela unionen förutsätter att de registrerades rättigheter förstärks.

134 Att begränsa tillsynsmyndigheternas skyldighet enligt artikel 57.1 f i dataskyddsförordningen att behandla klagomål, genom att tolka artikel 77.1 i denna förordning på så sätt att sistnämnda bestämmelse utesluter varje möjlighet att lämna in ett klagomål till en tillsynsmyndighet när den personuppgiftsansvarige förbereder sig för behandling, skulle strida mot målen med denna förordning, bland annat målet om att säkerställa en hög skyddsnivå för fysiska personer vid behandling av personuppgifter inom unionen.

135 Ett klagomål som inges med stöd av artikel 77 i dataskyddsförordningen kan således anses kunna tas upp till prövning, trots att den behandling av personuppgifter som klagomålet avser ännu inte har ägt rum vid den tidpunkt då den registrerade lämnar in klagomålet till tillsynsmyndigheten, dock under förutsättning att behandlingen inte är rent hypotetisk.

136 I det nationella målet förs talan vid den hänskjutande domstolen mot ett beslut varigenom ett klagomål om radering av de aktuella uppgifterna avslogs med motiveringen att det saknades ett berättigat intresse av att få saken prövad, eftersom uppgifterna ännu inte hade offentliggjorts. Klaganden i det aktuella nationella målet, YT, gjorde i detta avseende gällande att hon genom ÖADR:s beslut blev avstängd för en period om fyra år och att det därför var nära förestående att de aktuella uppgifterna skulle offentliggöras.

137 Ett klagomål varvid det framställs yrkande om radering av personuppgifter förutsätter emellertid i princip att dessa uppgifter har behandlats. Det är nämligen omöjligt för den personuppgiftsansvarige att vidta åtgärder med anledning av ett sådant klagomål och att radera uppgifter om de ännu inte har lämnats ut.

138 Med förbehåll för den hänskjutande domstolens prövning framstår det emellertid som om YT:s klagomål med stöd av artikel 77 i dataskyddsförordningen i själva verket syftade till att förhindra att de aktuella personuppgifterna offentliggjordes, och inte till att radera dem. Klagomålet kunde således tas upp till prövning, eftersom det vid den tidpunkt då det lämnades in till den behöriga tillsynsmyndigheten redan fanns konkreta indikationer på att behandlingen av dessa uppgifter var nära förestående eller skulle äga rum inom en nära framtid. Denna slutsats gör sig än mer gällande med hänsyn till att denna behandling – det vill säga offentliggörandet på internet av YT:s namn, på grund av att hon hade påförts sanktioner till följd av en överträdelse av antidopningsreglerna, och av varaktigheten av hennes avstängning – innebär, såsom konstaterats i punkt 96 ovan, ett allvarligt ingrepp i den registrerades grundläggande rätt till respekt för privatlivet och skydd av personuppgifter.

139 Mot bakgrund av det ovan anförda ska den sjunde frågan besvaras enligt följande. Artikel 77 i dataskyddsförordningen ska tolkas så, att ett klagomål som lämnats in med stöd av denna artikel och som syftar till att förhindra att personuppgifter om överträdelser av antidopningsregler offentliggörs på internet kan tas upp till prövning när det, vid den tidpunkt då klagomålet lämnas in till den behöriga tillsynsmyndigheten, finns konkreta indikationer på att ett sådant offentliggörande är nära förestående eller kommer att äga rum inom en nära framtid.

Rättegångskostnader

140 Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.

Mot denna bakgrund beslutar domstolen (stora avdelningen) följande:

1) Artikel 2.2 a i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), jämförd med artikel 16.2 första meningen FEUF,

ska tolkas så,

att tillämpningsområdet för unionsrätten och därmed för nämnda förordning omfattar behandling av personuppgifter som består i att, med tillämpning av nationella antidopningsregler, offentliggöra namnen på de idrottsutövare som påförts sanktioner på grund av en överträdelse av dessa regler, den idrottsgren som de utövar, den överträdelse av dessa regler som begåtts, den sanktion som ålagts dessa idrottsutövare samt början och slutet av sanktionen.

2) Artikel 9 i förordning 2016/679

ska tolkas så,

att information om att en viss person har begått en viss överträdelse av antidopningsreglerna och avstängts från deltagande i nationella och internationella tävlingar på grund av denna överträdelse i princip inte omfattas av begreppet uppgifter om hälsa, i den mening som i avses i nämnda artikel 9. Det förhåller sig däremot annorlunda när sådan information anger namnet på eller kategorin av den förbjudna substans eller förbjudna metod som överträdelsen avser och angivandet, i kombination med annan information om denna person, genom associering eller slutledning, kan avslöja information, även indirekt, om nämnda persons tidigare, nuvarande eller framtida fysiska eller psykiska hälsotillstånd.

3) Artikel 5.1 a och c samt artikel 6.3 andra stycket i förordning 2016/679

ska tolkas så,

att de inte utgör hinder för en nationell lagstiftning som ålägger nationella antidopningsorgan en skyldighet att på internet offentliggöra personuppgifter om samtliga idrottsutövare som påförts sanktioner på grund av en överträdelse av antidopningsreglerna, såsom namnet på de berörda idrottsutövarna, varaktigheten av det förbud de belagts med och skälen till detta, med undantag för motionsidrottsutövare, särskilt utsatta personer och ”visselblåsare”, under förutsättning att denna lagstiftning gör det möjligt för de personuppgiftsansvariga att, utöver nämnda undantag och före ett sådant offentliggörande, göra en individuell intresseavvägning för att säkerställa att offentliggörandet sker i enlighet med nämnda förordning.

4) Artikel 10 i förordning 2016/679

ska tolkas så,

att den inte är tillämplig på behandling av personuppgifter avseende dels överträdelser som föreskrivs i nationell antidopningslagstiftning, dels sanktioner som påförs för sådana överträdelser, eftersom dessa överträdelser och sanktioner, oberoende av hur överträdelserna kvalificeras i nationell rätt, endast avser en viss grupp av personer, nämligen idrottsutövare, i likhet med disciplinära sanktioner som syftar till att säkerställa att de som ingår i en grupp iakttar de uppföranderegler som gäller för gruppen.

5) Artikel 77 i förordning 2016/679

ska tolkas så,

att ett klagomål som lämnats in med stöd av denna artikel och som syftar till att förhindra att personuppgifter om överträdelser av antidopningsregler offentliggörs på internet kan tas upp till prövning när det, vid den tidpunkt då klagomålet lämnas in till den behöriga tillsynsmyndigheten, finns konkreta indikationer på att ett sådant offentliggörande är nära förestående eller kommer att äga rum inom en nära framtid.

Underskrifter

* Rättegångsspråk: tyska.