Corte di giustizia dell'Unione Europea
Grande Sezione
Sentenza 14 luglio 2026
Presidente: Lenaerts - Relatore: Passer
«Rinvio pregiudiziale - Protezione delle persone fisiche con riguardo al trattamento dei dati personali - Regolamento (UE) 2016/679 - Articolo 2 - Ambito di applicazione ratione materiae - Articoli 5 e 6 - Principi relativi al trattamento e liceità di quest'ultimo - Articolo 9 - Nozione di "dati relativi alla salute" - Articolo 10 - Nozione di "dati personali relativi alle condanne penali e ai reati" - Lotta contro il doping nel settore dello sport - Pubblicazione online del nome di una persona che ha violato le norme antidoping, della durata della sua interdizione dalla partecipazione a eventi sportivi e delle ragioni di tale interdizione - Bilanciamento degli interessi - Proporzionalità - Articolo 77 - Diritto di proporre reclamo presso un'autorità di controllo qualora una tale pubblicazione sia imminente».
Nella causa C‑474/24, avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell'articolo 267 TFUE, dal Bundesverwaltungsgericht (Tribunale amministrativo federale, Austria), con decisione del 28 giugno 2024, pervenuta in cancelleria il 4 luglio 2024, nel procedimento AR, YT, DI, RN con l'intervento di: Österreichische Datenschutzbehörde, Nationale Anti-Doping Agentur Austria GmbH (NADA Austria), Österreichische Anti-Doping Rechtskommission (ÖADR).
[...]
1. La domanda di pronuncia pregiudiziale verte sull'interpretazione dell'articolo 16, paragrafo 2, prima frase, TFUE, dell'articolo 5, paragrafo 1, lettere a) e c), dell'articolo 6, paragrafo 3, secondo comma, nonché degli articoli 9, 10, 17 e 77 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1, e rettifica in GU 2018, L 127, pag. 2; in prosieguo: il «RGPD»).
2. Tale domanda è stata presentata nell'ambito di una controversia che contrappone gli atleti AR, YT, DI e RN, alla Nationale Anti-Doping Agentur Austria GmbH (NADA Austria) e all'Österreichische Anti-Doping Rechtskommission (ÖADR) [commissione giuridica antidoping austriaca (ÖADR)], in merito alla pubblicazione su Internet di diverse informazioni che li riguardano, relative a violazioni della normativa austriaca antidoping da parte degli stessi atleti.
Contesto normativo
Il CMA
3. Il codice mondiale antidoping, nella versione in vigore nel 2021 (in prosieguo: il «CMA»), elaborato dall'Agenzia mondiale antidoping, è il testo di base in materia di lotta mondiale contro il doping nello sport, come risulta dalla dichiarazione di Copenaghen del 5 marzo 2003 contro il doping nello sport. Tale codice è uno strumento di natura privata che gli Stati firmatari della convenzione internazionale delle Nazioni Unite contro il doping nello sport, firmata il 19 ottobre 2005 a Parigi ed entrata in vigore il 1º febbraio 2007, si sono impegnati a rispettare. Sia la dichiarazione che la convenzione sono state firmate da tutti gli Stati membri dell'Unione europea.
4. L'articolo 2 del CMA elenca, ai paragrafi da 1 a 11, le categorie di violazioni delle norme antidoping.
5. L'articolo 2, paragrafo 6, del CMA, che si riferisce al possesso, da parte di un atleta o di un membro del personale dirigente di un atleta, di una sostanza vietata o di un metodo vietato, in combinato disposto con l'articolo 4, paragrafo 4, di quest'ultimo, autorizza l'uso di talune sostanze a fini terapeutici.
6. L'articolo 14, paragrafo 3, punto 2, del CMA impone alle organizzazioni antidoping interessate di divulgare pubblicamente «l'esito della procedura antidoping, compreso lo sport, la norma antidoping violata, il nome dell'atleta o dell'altra persona che ha commesso la violazione, la sostanza vietata o il metodo vietato in questione (se del caso) e le conseguenze imposte».
Diritto dell'Unione
Trattato FUE
7. L'articolo 16 TFUE prevede:
«1. Ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano.
2. Il Parlamento europeo e il Consiglio [dell'Unione europea], deliberando secondo la procedura legislativa ordinaria, stabiliscono le norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale da parte delle istituzioni, degli organi e degli organismi dell'Unione, nonché da parte degli Stati membri nell'esercizio di attività che rientrano nel campo di applicazione del diritto dell'Unione, e le norme relative alla libera circolazione di tali dati. Il rispetto di tali norme è soggetto al controllo di autorità indipendenti.
(...)».
8. L'articolo 165 TFUE così dispone:
«(...)
2. L'azione dell'Unione è intesa:
(...)
- a sviluppare la dimensione europea dello sport, promuovendo l'equità e l'apertura nelle competizioni sportive e la cooperazione tra gli organismi responsabili dello sport e proteggendo l'integrità fisica e morale degli sportivi, in particolare dei più giovani tra di essi.
(...)
4. Per contribuire alla realizzazione degli obiettivi previsti dal presente articolo:
(...)
- il Consiglio, su proposta della Commissione [europea], adotta raccomandazioni».
Il RGPD
9. Ai sensi dei considerando da 10 a 12, 16, 35, 39, 51 e 112 del RGPD:
«10) Al fine di assicurare un livello coerente ed elevato di protezione delle persone fisiche e rimuovere gli ostacoli alla circolazione dei dati personali all'interno dell'Unione, il livello di protezione dei diritti e delle libertà delle persone fisiche con riguardo al trattamento di tali dati dovrebbe essere equivalente in tutti gli Stati membri. È opportuno assicurare un'applicazione coerente e omogenea delle norme a protezione dei diritti e delle libertà fondamentali delle persone fisiche con riguardo al trattamento dei dati personali in tutta l'Unione. Per quanto riguarda il trattamento dei dati personali per l'adempimento di un obbligo legale, per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento, gli Stati membri dovrebbero rimanere liberi di mantenere o introdurre norme nazionali al fine di specificare ulteriormente l'applicazione delle norme del presente regolamento. In combinato disposto con la legislazione generale e orizzontale in materia di protezione dei dati che attua la direttiva 95/46/CE [del Parlamento europeo e del Consiglio del 24 ottobre 1995 relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU 1995, L 281, pag. 31)] gli Stati membri dispongono di varie leggi settoriali in settori che richiedono disposizioni più specifiche. Il presente regolamento prevede anche un margine di manovra degli Stati membri per precisarne le norme, anche con riguardo al trattamento di categorie particolari di dati personali ("dati sensibili"). In tal senso, il presente regolamento non esclude che il diritto degli Stati membri stabilisca le condizioni per specifiche situazioni di trattamento, anche determinando con maggiore precisione le condizioni alle quali il trattamento di dati personali è lecito.
(11) Un'efficace protezione dei dati personali in tutta l'Unione presuppone il rafforzamento e la disciplina dettagliata dei diritti degli interessati e degli obblighi di coloro che effettuano e determinano il trattamento dei dati personali, nonché poteri equivalenti per controllare e assicurare il rispetto delle norme di protezione dei dati personali e sanzioni equivalenti per le violazioni negli Stati membri.
(12) L'articolo 16, paragrafo 2, TFUE conferisce al Parlamento europeo e al Consiglio il mandato di stabilire le norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale e le norme relative alla libera circolazione di tali dati.
(...)
(16) Il presente regolamento non si applica a questioni di tutela dei diritti e delle libertà fondamentali o di libera circolazione dei dati personali riferite ad attività che non rientrano nell'ambito di applicazione del diritto dell'Unione, quali le attività riguardanti la sicurezza nazionale. Il presente regolamento non si applica al trattamento dei dati personali effettuato dagli Stati membri nell'esercizio di attività relative alla politica estera e di sicurezza comune dell'Unione.
(...)
(35) Nei dati personali relativi alla salute dovrebbero rientrare tutti i dati riguardanti lo stato di salute dell'interessato che rivelino informazioni connesse allo stato di salute fisica o mentale passata, presente o futura dello stesso. Questi comprendono informazioni sulla persona fisica raccolte nel corso della sua registrazione al fine di ricevere servizi di assistenza sanitaria o della relativa prestazione di cui alla direttiva 2011/24/UE del Parlamento europeo e del Consiglio[, del 9 marzo 2011, concernente l'applicazione dei diritti dei pazienti relativi all'assistenza sanitaria transfrontaliera (GU 2011, L 88, pag. 45),]; un numero, un simbolo o un elemento specifico attribuito a una persona fisica per identificarla in modo univoco a fini sanitari; le informazioni risultanti da esami e controlli effettuati su una parte del corpo o una sostanza organica, compresi i dati genetici e i campioni biologici; e qualsiasi informazione riguardante, ad esempio, una malattia, una disabilità, il rischio di malattie, l'anamnesi medica, i trattamenti clinici o lo stato fisiologico o biomedico dell'interessato, indipendentemente dalla fonte, quale, ad esempio, un medico o altro operatore sanitario, un ospedale, un dispositivo medico o un test diagnostico in vitro.
(...)
(39) Qualsiasi trattamento di dati personali dovrebbe essere lecito e corretto. (...) I dati personali dovrebbero essere adeguati, pertinenti e limitati a quanto necessario per le finalità del loro trattamento. Da qui l'obbligo, in particolare, di assicurare che il periodo di conservazione dei dati personali sia limitato al minimo necessario. I dati personali dovrebbero essere trattati solo se la finalità del trattamento non è ragionevolmente conseguibile con altri mezzi. Onde assicurare che i dati personali non siano conservati più a lungo del necessario, il titolare del trattamento dovrebbe stabilire un termine per la cancellazione o per la verifica periodica. (...)
(...)
(51) Meritano una specifica protezione i dati personali che, per loro natura, sono particolarmente sensibili sotto il profilo dei diritti e delle libertà fondamentali, dal momento che il contesto del loro trattamento potrebbe creare rischi significativi per i diritti e le libertà fondamentali. (...) Tali dati personali non dovrebbero essere oggetto di trattamento, a meno che il trattamento non sia consentito nei casi specifici di cui al presente regolamento, tenendo conto del fatto che il diritto degli Stati membri può stabilire disposizioni specifiche sulla protezione dei dati per adeguare l'applicazione delle norme del presente regolamento ai fini della conformità a un obbligo legale o dell'esecuzione di un compito di interesse pubblico o per l'esercizio di pubblici poteri di cui è investito il titolare del trattamento. Oltre ai requisiti specifici per tale trattamento, dovrebbero applicarsi i principi generali e altre norme del presente regolamento, in particolare per quanto riguarda le condizioni per il trattamento lecito. È opportuno prevedere espressamente deroghe al divieto generale di trattare tali categorie particolari di dati personali, tra l'altro se l'interessato esprime un consenso esplicito o in relazione a esigenze specifiche, in particolare se il trattamento è eseguito nel corso di legittime attività di talune associazioni o fondazioni il cui scopo sia permettere l'esercizio delle libertà fondamentali
(...)
(112) Tali deroghe dovrebbero in particolare valere per i trasferimenti di dati richiesti e necessari per importanti motivi di interesse pubblico, ad esempio nel caso di scambio internazionale di dati tra autorità garanti della concorrenza, amministrazioni fiscali o doganali, autorità di controllo finanziario, servizi competenti in materia di sicurezza sociale o sanità pubblica, ad esempio in caso di ricerca di contatti per malattie contagiose o al fine di ridurre e/o eliminare il doping nello sport. (...)».
10. L'articolo 2 del RGPD, intitolato «Ambito di applicazione materiale», è così formulato:
«1) Il presente regolamento si applica al trattamento interamente o parzialmente automatizzato di dati personali e al trattamento non automatizzato di dati personali contenuti in un archivio o destinati a figurarvi.
2) Il presente regolamento non si applica ai trattamenti di dati personali:
a) effettuati per attività che non rientrano nell'ambito di applicazione del diritto dell'Unione;
(...)».
11. L'articolo 4 del RGPD, intitolato «Definizioni», prevede quanto segue:
«Ai fini del presente regolamento s'intende per:
1) "dato personale": qualsiasi informazione riguardante una persona fisica identificata o identificabile ("interessato"); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all'ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale;
2) "trattamento": qualsiasi operazione o insieme di operazioni, compiute con o senza l'ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l'organizzazione, la strutturazione, la conservazione, l'adattamento o la modifica, l'estrazione, la consultazione, l'uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l'interconnessione, la limitazione, la cancellazione o la distruzione;
(...)
15) "dati relativi alla salute": i dati personali attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute;
(...)».
12. L'articolo 5 del RGPD, intitolato «Principi applicabili al trattamento di dati personali», è del seguente tenore:
«1. I dati personali sono:
a) trattati in modo lecito, corretto e trasparente nei confronti dell'interessato ("liceità, correttezza e trasparenza");
(...)
c) adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati ("minimizzazione dei dati");
(...)».
13. L'articolo 6 del RGPD, intitolato «Liceità del trattamento», enuncia quanto segue:
«1. Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni:
(...)
c) il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento;
(...)
e) il trattamento è necessario per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento;
(...)
3. La base su cui si fonda il trattamento dei dati di cui al paragrafo 1, lettere c) ed e), deve essere stabilita:
a) dal diritto dell'Unione; o
b) dal diritto dello Stato membro cui è soggetto il titolare del trattamento.
La finalità del trattamento è determinata in tale base giuridica o, per quanto riguarda il trattamento di cui al paragrafo 1, lettera e), è necessaria per l'esecuzione di un compito svolto nel pubblico interesse o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento. Tale base giuridica potrebbe contenere disposizioni specifiche per adeguare l'applicazione delle norme del presente regolamento, tra cui: le condizioni generali relative alla liceità del trattamento da parte del titolare del trattamento; le tipologie di dati oggetto del trattamento; gli interessati; i soggetti cui possono essere comunicati i dati personali e le finalità per cui sono comunicati; le limitazioni della finalità, i periodi di conservazione e le operazioni e procedure di trattamento, comprese le misure atte a garantire un trattamento lecito e corretto, quali quelle per altre specifiche situazioni di trattamento di cui al capo IX. Il diritto dell'Unione o degli Stati membri persegue un obiettivo di interesse pubblico ed è proporzionato all'obiettivo legittimo perseguito.
(...)».
14. L'articolo 9 del RGPD, intitolato «Trattamento di categorie particolari di dati personali», così dispone:
«1. È vietato trattare dati personali che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l'appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona.
2. Il paragrafo 1 non si applica se si verifica uno dei seguenti casi:
a) l'interessato ha prestato il proprio consenso esplicito al trattamento di tali dati personali per una o più finalità specifiche, salvo nei casi in cui il diritto dell'Unione o degli Stati membri dispone che l'interessato non possa revocare il divieto di cui al paragrafo 1;
(...)
g) il trattamento è necessario per motivi di interesse pubblico rilevante sulla base del diritto dell'Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita, rispettare l'essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell'interessato;
(...)
i) il trattamento è necessario per motivi di interesse pubblico nel settore della sanità pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero o la garanzia di parametri elevati di qualità e sicurezza dell'assistenza sanitaria e dei medicinali e dei dispositivi medici, sulla base del diritto dell'Unione o degli Stati membri che prevede misure appropriate e specifiche per tutelare i diritti e le libertà dell'interessato, in particolare il segreto professionale;
(...)».
15. L'articolo 10 del RGPD, intitolato «Trattamento dei dati personali relativi a condanne penali e reati», così recita:
«Il trattamento dei dati personali relativi alle condanne penali e ai reati o a connesse misure di sicurezza sulla base dell'articolo 6, paragrafo 1, deve avvenire soltanto sotto il controllo dell'autorità pubblica o se il trattamento è autorizzato dal diritto dell'Unione o degli Stati membri che preveda garanzie appropriate per i diritti e le libertà degli interessati. Un eventuale registro completo delle condanne penali deve essere tenuto soltanto sotto il controllo dell'autorità pubblica».
16. L'articolo 17 del RGPD, intitolato «Diritto alla cancellazione ("diritto all'oblio")», prevede quanto segue:
«1. L'interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l'obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti:
(...)
3. I paragrafi 1 e 2 non si applicano nella misura in cui il trattamento sia necessario:
(...)
b) per l'adempimento di un obbligo giuridico che richieda il trattamento previsto dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento o per l'esecuzione di un compito svolto nel pubblico interesse oppure nell'esercizio di pubblici poteri di cui è investito il titolare del trattamento;
(...)».
17. Il capo V del RGPD, intitolato «Trasferimenti di dati personali verso paesi terzi o organizzazioni internazionali», include gli articoli da 44 a 50 di tale regolamento.
18. L'articolo 57 del RGPD, intitolato «Compiti», al paragrafo 1, prevede quanto segue:
«Fatti salvi gli altri compiti indicati nel presente regolamento, sul proprio territorio ogni autorità di controllo:
(...)
f) tratta i reclami proposti da un interessato, o da un organismo, un'organizzazione o un'associazione ai sensi dell'articolo 80, e svolge le indagini opportune sull'oggetto del reclamo e informa il reclamante dello stato e dell'esito delle indagini entro un termine ragionevole, in particolare ove siano necessarie ulteriori indagini o un coordinamento con un'altra autorità di controllo;
(...)».
19. L'articolo 58 del RGPD, intitolato «Poteri», al paragrafo 1, elenca i poteri di indagine di cui ciascuna autorità di controllo dispone e, al suo paragrafo 2, prevede quanto segue:
«Ogni autorità di controllo ha tutti i poteri correttivi seguenti:
a) rivolgere avvertimenti al titolare del trattamento o al responsabile del trattamento sul fatto che i trattamenti previsti possono verosimilmente violare le disposizioni del presente regolamento;
(...)».
20. L'articolo 77 del RGPD, intitolato «Diritto di proporre reclamo all'autorità di controllo», così dispone:
«1. Fatto salvo ogni altro ricorso amministrativo o giurisdizionale, l'interessato che ritenga che il trattamento che lo riguarda violi il presente regolamento ha il diritto di proporre reclamo a un'autorità di controllo, segnatamente nello Stato membro in cui risiede abitualmente, lavora oppure del luogo ove si è verificata la presunta violazione.
2. L'autorità di controllo a cui è stato proposto il reclamo informa il reclamante dello stato o dell'esito del reclamo, compresa la possibilità di un ricorso giurisdizionale ai sensi dell'articolo 78».
21. L'articolo 78 del RGPD, intitolato «Diritto a un ricorso giurisdizionale effettivo nei confronti dell'autorità di controllo», al paragrafo 1, così recita:
«Fatto salvo ogni altro ricorso amministrativo o extragiudiziale, ogni persona fisica o giuridica ha il diritto di proporre un ricorso giurisdizionale effettivo avverso una decisione giuridicamente vincolante dell'autorità di controllo che la riguarda».
Diritto austriaco
22. L'articolo 1 dell'Anti-Doping-Bundesgesetz 2021 (legge federale sull'antidoping 2021), del 23 dicembre 2020 (BGBl. I, 152/2020; in prosieguo: l'«ADBG»), intitolato «Obiettivi e violazione delle norme antidoping», al paragrafo 1, dispone che «poiché influenza le attitudini sportive, il doping è contrario al principio di equità in competizione sportiva nonché al vero valore intrinseco dello sport (lo spirito sportivo) e presenta inoltre rischi per la salute».
23. L'articolo 5 dell'ADBG, intitolato «Organismo indipendente di controllo del doping», al paragrafo 1, dispone che tale organismo ha il compito, tra l'altro, di presentare istanze di verifica, ai sensi dell'articolo 18 dell'ADBG, dinanzi all'ÖADR qualora ritenga che l'ADBG sia stato violato, e di esercitare la qualità di parte nei procedimenti dinanzi a tale commissione nonché dinanzi alla Unabhängige Schiedskommission (Commissione arbitrale indipendente, Austria) (in prosieguo: l'«USK»), in conformità all'articolo 20, paragrafo 2, e all'articolo 23, paragrafo 2, dell'ADBG.
24. L'articolo 5 della ADBG, ai suoi paragrafi 5 e 6, così dispone:
«(5) Per svolgere le funzioni di organismo indipendente di controllo del doping esiste una società di pubblica utilità a responsabilità limitata denominata "Nationale Anti-Doping Agentur Austria GmbH", abbreviata in "NADA Austria" [(in prosieguo: la "NADA")]. (...) In qualità di titolare del trattamento, ai sensi dell'articolo 4, punto 7, del RGPD, la [NADA] tratta dati personali.
(6) L'Organismo indipendente di controllo del doping deve informare l'Österreichische Bundes-Sportorganisation (BSO) [organizzazione federale austriaca dello sport (BSO), Austria], le organizzazioni sportive, gli atleti, le altre persone e gli organizzatori di competizioni, in aggiunta a quanto previsto al paragrafo 3, in merito a quanto segue, e mettere gratuitamente a disposizione del pubblico:
1. gli organismi autorizzati a disporre controlli antidoping;
2. i criteri per l'inclusione nel pool nazionale di test (articolo 9);
3. il rimborso delle spese della procedura di controllo antidoping;
4. fatte salve le disposizioni di cui all'articolo 21, paragrafo 3 e all'articolo 23, paragrafo 14, le misure cautelari (ad esempio, le sospensioni) e le squalifiche di atleti e di altre persone giunte a conoscenza dell'Organismo indipendente di controllo del doping e la loro revoca, indicando i nomi delle persone interessate, la durata della squalifica e i motivi di quest'ultima, senza che sia possibile desumere categorie particolari di dati personali, in particolare di dati relativi alla salute, delle persone in questione. Questa informativa può essere omessa nel caso di persone particolarmente vulnerabili, nonché di atleti amatoriali. Nel caso di atleti amatoriali, la comunicazione di informazioni deve essere effettuata per motivi di sanità pubblica qualora sia stata accertata una violazione delle norme antidoping ai sensi dell'articolo 1, paragrafo 2, punto 3 e punti da 9 a 11.
5. quali dati, in particolare quali dati personali e quali categorie particolari di dati personali, e a quale scopo, vengono trattati nell'ambito dell'azione antidoping o di una procedura di controllo antidoping».
25. L'articolo 6 dell'ADBG, intitolato «Disposizioni legislative in materia di protezione dei dati», prevede quanto segue:
«(1) L'Organismo indipendente di controllo del doping è legittimato, in qualità di titolare del trattamento ai sensi dell'articolo 4, punto 7, del RGPD, nella misura in cui ciò sia necessario per lo svolgimento dei compiti ad esso incombenti in forza della presente legge federale e ai fini dell'attuazione della medesima, in particolare nell'ambito delle funzioni dell'[ÖADR] e dell'[USK], a trattare dati personali. (...)
(2) L'Organismo indipendente di controllo del doping provvede segnatamente alla sicurezza dei dati personali e delle categorie particolari di dati personali, conformemente agli articoli da 32 a 34 del RGPD. La necessità del trattamento dei dati risulta dall'efficace attuazione delle disposizioni antidoping del [CMA], e delle disposizioni della presente legge federale, sempreché gli interessati si siano contrattualmente impegnati al rispetto del CMA. Categorie particolari di dati personali, segnatamente dati relativi alla salute, possono essere oggetto di trattamento solo ove ciò sia strettamente necessario in forza delle disposizioni antidoping della presente legge federale o del CMA.
(...)».
26. L'articolo 7 dell'ADBG, intitolato «[ÖADR]», al paragrafo 1, prevede quanto segue:
«[L'ÖADR] è una commissione indipendente da organi statali, da soggetti privati e dall'Organismo indipendente di controllo del doping. I membri dell'ÖADR non devono aver partecipato né all'indagine riguardante un atleta, né alla decisione di presentare una richiesta di controllo di un atleta o di un'altra persona, né all'esame della decisione dell'ÖADR da parte dell'[USK] a norma dell'articolo 8. Essa deve condurre procedimenti disciplinari per la federazione sportiva federale rispettivamente competente conformemente alle norme antidoping in vigore della federazione sportiva internazionale competente (procedura antidoping)».
27. L'articolo 8 dell'ADBG, intitolato «[USK]», al paragrafo 1, dispone quanto segue:
«[L'USK] è una commissione indipendente da organi statali, da soggetti privati e dall'Organismo indipendente di controllo del doping. I membri dell'USK non possono aver preso parte né alle indagini riguardanti un atleta o un'altra persona, né alla decisione relativa alla presentazione di un'istanza di verifica riguardante un atleta o un'altra persona, né alla decisione, adottata dalla stessa ÖADR, sottoposta per riesame a detti membri. Fatte salve le disposizioni dell'articolo 23, paragrafo 10, punti 1 e 2, essa viene istituita presso l'Organismo indipendente di controllo del doping ai fini del riesame delle decisioni dell'ÖADR nei procedimenti antidoping».
28. L'articolo 12 dell'ADBG, intitolato «Esenzioni mediche», disciplina la procedura per il rilascio di autorizzazioni all'uso, per fini terapeutici, di sostanze vietate.
29. L'articolo 20 dell'ADBG, intitolato «Procedimento dinanzi al[l'ÖADR]», stabilisce, in sostanza, che l'ÖADR è competente a condurre procedimenti antidoping a seguito di istanze di verifica presentate dall'Organismo indipendente di controllo del doping e ad adottare decisioni in primo grado in caso di violazione delle norme antidoping della federazione sportiva internazionale competente.
30. L'articolo 21 dell'ADBG, intitolato «Altre disposizioni che disciplinano il procedimento», al paragrafo 3, enuncia quanto segue:
«L'ÖADR deve, entro 20 giorni da quando la decisione è divenuta definitiva, informare la BSO, le organizzazioni sportive, gli atleti, le altre persone e gli organizzatori di competizioni, nonché la collettività, in merito alle misure cautelari imposte (ad esempio, le sospensioni) e alle decisioni prese nell'ambito di procedimenti antidoping, indicando il nome dell'interessato, la durata della squalifica e i motivi di quest'ultima, senza che sia possibile desumere dati relativi alla salute della persona rispettivamente interessata. Questa informativa può essere omessa nel caso di persone particolarmente vulnerabili, di atleti amatori, nonché di persone che abbiano contribuito in maniera significativa alla scoperta di potenziali violazioni delle norme antidoping fornendo informazioni o altre indicazioni. La divulgazione di informazioni riguardanti atleti amatoriali viene effettuata per motivi di sanità pubblica nel caso in cui sia stata accertata una violazione delle norme antidoping ai sensi dell'articolo 1, paragrafo 2, punto 3 e punti da 9 a 11».
31. L'articolo 23 dell'ADBG, intitolato «Procedimento dinanzi all'[USK]», al paragrafo 14, enuncia quanto segue:
«L'USK deve informare la BSO, le organizzazioni sportive, gli atleti, le altre persone e gli organizzatori di competizioni, nonché la collettività in merito alle proprie decisioni, indicando i nomi delle persone interessate, la durata della squalifica e i motivi di quest'ultima, senza che sia possibile desumere dati relativi alla salute della persona in questione. Questa informativa può essere omessa nel caso di persone particolarmente vulnerabili, di atleti amatoriali, nonché di persone che abbiano contribuito in maniera sostanziale alla scoperta di potenziali violazioni delle norme antidoping fornendo informazioni o altre indicazioni. Nel caso di atleti amatoriali, la comunicazione di informazioni deve essere effettuata per motivi di sanità pubblica qualora sia stata accertata una violazione delle norme antidoping ai sensi dell'articolo 1, paragrafo 2, punto 3 e punti da 9 a 11».
32. L'articolo 24 dell'ADBG, intitolato «Obblighi specifici dell'organizzazione sportiva», al suo paragrafo 4, dispone, in sostanza, che le organizzazioni sportive non possono impiegare persone squalificate in forza delle norme antidoping.
Procedimento principale e questioni pregiudiziali
33. AR, YT, DI e RN, quattro atleti, sono stati oggetto di decisioni di interdizione dalla partecipazione a competizioni rispettivamente per un periodo determinato o a vita, adottate o dall'ÖADR, in esito a procedimenti antidoping da essa condotti, o dall'USK, competente a riesaminare le decisioni dell'ÖADR.
34. Ai sensi della legislazione austriaca in materia di antidoping, le squalifiche decise dall'ÖADR o dall'USK sono pubblicate sotto forma di elenco dalla NADA sul suo sito Internet. Tale elenco indica il nome e cognome dell'atleta interessato, la disciplina sportiva praticata, la violazione delle norme antidoping commessa, la sanzione inflitta, nonché la data di inizio e di fine della sanzione. L'ÖADR pubblica a sua volta tali dati sul proprio sito Internet nella rubrica «Comunicati stampa».
35. Nell'ottobre 2021, i ricorrenti nel procedimento principale hanno chiesto all'ÖADR e alla NADA di cancellare da tali siti Internet la menzione dei loro nomi e degli sport di cui trattasi.
36. Poiché l'ÖADR e la NADA non hanno dato seguito alle domande dei ricorrenti nel procedimento principale, questi ultimi hanno presentato all'Österreichische Datenschutzbehörde (autorità austriaca per la protezione dei dati) un reclamo ai sensi dell'articolo 77, paragrafo 1, del RGPD, diretto a far constatare una violazione del diritto alla cancellazione, previsto dall'articolo 17 di tale regolamento, e ad ordinare all'ÖADR e alla NADA di cancellare tale menzione da detti siti Internet. Essi hanno sostenuto che si trattava di una categoria particolare di dati personali, ai sensi dell'articolo 9 del suddetto regolamento, nonché di un trattamento di dati personali relativi alle condanne penali e ai reati, ai sensi dell'articolo 10 del medesimo regolamento. Il regime indifferenziato di pubblicazione previsto nel diritto austriaco sarebbe incompatibile con l'articolo 6, paragrafo 3, del RGPD e non sarebbe né necessario né proporzionato.
37. Con decisione del 26 novembre 2021, l'autorità austriaca per la protezione dei dati ha respinto il reclamo di AR, di DI e di RN in quanto infondato. Tale autorità ha ritenuto, in particolare, che la pubblicazione dei dati in questione fosse necessaria per rispettare un obbligo legale previsto dalla normativa in materia di antidoping e che, pertanto, un diritto alla cancellazione fosse escluso in applicazione dell'articolo 17, paragrafo 3, lettera b), del RGPD. Quanto al reclamo di YT, detta autorità lo ha respinto per mancanza di interesse ad agire, con la motivazione che i suoi dati non erano ancora stati pubblicati.
38. I ricorrenti nel procedimento principale hanno proposto, sulla base dell'articolo 78, paragrafo 1, del RGPD, un ricorso avverso tale decisione dinanzi al Bundesverwaltungsgericht (Tribunale amministrativo federale, Austria), giudice del rinvio. Nell'ambito di tale ricorso, essi hanno, in sostanza, reiterato gli argomenti che avevano presentato nel corso del procedimento amministrativo. Inoltre, YT ha invocato il fatto che le era stata applicata una sospensione di quattro anni con la decisione dell'ÖADR e che una pubblicazione dei suoi dati era quindi imminente. La NADA ha sostenuto, in particolare, che la pubblicazione dei dati personali di cui trattasi sul suo sito Internet era lecita, in quanto era necessaria «per adempiere un obbligo legale» al quale era soggetta e per l'«esecuzione di un compito di interesse pubblico», ai sensi dell'articolo 6, paragrafo 1, primo comma, lettere c) ed e), del RGPD. Pertanto, conformemente all'articolo 17, paragrafo 3, lettera b), di tale regolamento, essa non sarebbe tenuta a cancellare tali dati dal suo sito Internet.
39. Il giudice del rinvio ha sospeso il procedimento principale a motivo della presentazione, da parte dell'USK, della domanda di pronuncia pregiudiziale nella causa che ha dato luogo alla sentenza del 7 maggio 2024, NADA e a. (C‑115/22, EU:C:2024:384). Dopo che tale domanda è stata dichiarata irricevibile, il procedimento nazionale dinanzi a tale giudice ha ripreso il suo corso.
40. In tale contesto, il Bundesverwaltungsgericht (Tribunale amministrativo federale) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:
«1) Se i trattamenti di dati di persone mediante i quali il loro nome, il tipo di sport praticato, la violazione di norme antidoping commessa, la sanzione, nonché la data di inizio e fine della sanzione vengono pubblicati sulla parte generale, accessibile al pubblico, del sito Internet della [NADA] https://www.nada.at/de/recht/suspendierungen-sperren sotto forma di un'iscrizione in una tabella, nonché in comunicati stampa accessibili al pubblico dell'[ÖADR] sul sito https://www.oeadr.at, rientrino nell'ambito di applicazione del diritto dell'Unione ai sensi dell'articolo 16, paragrafo 2, prima frase, TFUE, cosicché il [RGPD] è applicabile ad un siffatto trattamento di dati personali.
In caso di risposta affermativa alla prima questione:
2) Se l'informazione relativa al fatto che una determinata persona ha commesso una determinata violazione della normativa antidoping ed è stata esclusa dalla partecipazione a competizioni (nazionali e internazionali) a motivo di detta violazione costituisca un "dato relativo alla salute" ai sensi dell'articolo 9 del RGPD.
3) Se il RGPD - con particolare riguardo al suo articolo 6, paragrafo 3, secondo comma - osti a una normativa nazionale, la quale preveda la pubblicazione del nome delle persone interessate dalla decisione del[l'ÖADR] o del[l'USK], della durata dell'esclusione e dei motivi della stessa, senza che sia possibile desumere dati relativi alla salute della persona in questione. Se sia rilevante al riguardo il fatto che, secondo la normativa nazionale, la divulgazione di tali informazioni al pubblico può essere omessa solo se l'interessato è un atleta amatore, un minore o una persona che ha contribuito in modo sostanziale alla scoperta di potenziali violazioni della normativa antidoping, fornendo informazioni o altre indicazioni.
4) Se il RGPD - con particolare riguardo ai principi enunciati dal suo articolo 5, paragrafo 1, lettere a) e c), del RGPD - postuli in ogni caso, prima della pubblicazione, un bilanciamento tra gli interessi propri dell'interessato compromessi da una pubblicazione, da un lato, e l'interesse del pubblico ad essere informato sulla violazione della normativa antidoping commessa da un atleta, dall'altro lato.
5) Se l'informazione concernente il fatto che una determinata persona ha commesso una determinata violazione della normativa antidoping ed è stata esclusa dalla partecipazione a competizioni (nazionali e internazionali) a motivo di detta violazione costituisca un trattamento di dati personali relativi a condanne penali e reati ai sensi dell'articolo 10 del RGPD.
In caso di risposta affermativa alla quinta questione:
6) Se le attività e rispettivamente le decisioni di un'autorità pubblica alla quale è conferito, ai sensi dell'articolo 10 del RGPD, il controllo sul trattamento dei dati personali relativi alle condanne penali e ai reati o a connesse misure di sicurezza, siano sottoposte ad un sindacato giurisdizionale.
7) Se un reclamo ai sensi dell'articolo 77 del RGPD, concernente una violazione fatta valere ai sensi dell'articolo 17 del RGPD - fermo restando che, al momento della proposizione del reclamo all'autorità di controllo e della decisione di quest'ultima, non esisteva ancora un trattamento di dati personali dell'interessato, ma il trattamento ha avuto luogo nel corso del procedimento dinanzi al giudice dell'impugnazione - sia ricevibile e rispettivamente divenga ricevibile a posteriori, qualora già al momento della proposizione del reclamo sussistano indizi concreti che un trattamento di dati personali da parte del titolare del trattamento sia imminente e rispettivamente avrà luogo nel futuro prossimo».
Sulle questioni pregiudiziali
Sulla prima questione
41. Con la sua prima questione, il giudice del rinvio chiede, in sostanza, se l'articolo 2, paragrafo 2, lettera a), del RGPD, in combinato disposto con l'articolo 16, paragrafo 2, prima frase, TFUE, debba essere interpretato nel senso che rientra nell'ambito di applicazione del diritto dell'Unione, nonché di quello di tale regolamento, un trattamento di dati personali consistente nel pubblicare, in applicazione di norme nazionali antidoping, i nomi degli atleti sanzionati per una violazione di tali norme, la disciplina sportiva praticata da questi ultimi, la violazione di dette norme commessa, la sanzione inflitta agli atleti interessati nonché l'inizio e la fine di tale sanzione.
42. È pacifico che le suddette informazioni relative alle persone sanzionate per violazione delle norme nazionali antidoping, poiché si riferiscono a persone fisiche identificate, sono «dati personali», ai sensi dell'articolo 4, punto 1, del RGPD, e che la loro pubblicazione sui siti Internet della NADA e dell'ÖADR, incaricata di accertare e di sanzionare siffatte violazioni, costituisce un «trattamento», ai sensi dell'articolo 4, punto 2, del regolamento in esame.
43. Una siffatta pubblicazione rientra nella definizione molto ampia dell'ambito di applicazione materiale del RGPD, quale enunciata al suo articolo 2, paragrafo 1 [sentenza del 22 giugno 2021, Latvijas Republikas Saeima (Punti di penalità), C‑439/19, EU:C:2021:504, punto 61].
44. Il giudice del rinvio si chiede tuttavia se, nei limiti in cui il trattamento di dati personali in esame nel procedimento principale rientra nella lotta antidoping, esso esuli da tale ambito di applicazione in forza dell'eccezione di cui all'articolo 2, paragrafo 2, lettera a), secondo cui tale regolamento non si applica ai trattamenti di dati personali effettuati «per attività che non rientrano nell'ambito di applicazione del diritto dell'Unione».
45. Detta eccezione costituisce un'attuazione dell'articolo 16, paragrafo 2, prima frase, TFUE, che costituisce la base giuridica del RGPD e conferisce al Parlamento e al Consiglio il mandato di stabilire non solo le norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati personali effettuato in particolare «dagli Stati membri nell'esercizio di attività che rientrano nell'ambito di applicazione del diritto dell'Unione», ma anche le norme relative alla libera circolazione di tali dati.
46. Dalla giurisprudenza della Corte risulta che l'eccezione all'ambito di applicazione materiale del RGPD prevista all'articolo 2, paragrafo 2, lettera a), di tale regolamento, al pari delle altre eccezioni tassativamente elencate all'articolo 2, paragrafo 2, di quest'ultimo, deve essere interpretata restrittivamente [v., in tal senso, sentenze del 22 giugno 2021, Latvijas Republikas Saeima (Punti di penalità), C‑439/19, EU:C:2021:504, punto 62 e giurisprudenza citata, nonché del 16 gennaio 2024, Österreichische Datenschutzbehörde, C‑33/22, EU:C:2024:46, punto 37].
47. In tale contesto, la Corte ha già avuto occasione di precisare che l'articolo 2, paragrafo 2, lettera a), di tale regolamento, letto alla luce del considerando 16 dello stesso regolamento, ha l'unico obiettivo di escludere dall'ambito di applicazione di detto regolamento i trattamenti di dati personali effettuati dalle autorità statali nell'ambito di un'attività volta a salvaguardare la sicurezza nazionale o di un'attività che può essere ascritta alla medesima categoria [sentenze del 22 giugno 2021, Latvijas Republikas Saeima (Punti di penalità), C‑439/19, EU:C:2021:504, punto 66, e del 16 gennaio 2024, Österreichische Datenschutzbehörde, C‑33/22, EU:C:2024:46, punto 37].
48. Orbene, la pubblicazione dei dati personali di cui al punto 41 della presente sentenza, che la NADA e l'ÖADR effettuano sui loro siti Internet nell'ambito della loro attività di lotta antidoping, non costituisce un siffatto trattamento che rientrerebbe nell'ambito di applicazione dell'articolo 2, paragrafo 2, lettera a), del RGPD.
49. Occorre quindi constatare, al pari dell'avvocato generale al paragrafo 45 delle sue conclusioni, che l'eccezione all'ambito di applicazione del RGPD prevista all'articolo 2, paragrafo 2, lettera a), del RGPD non è applicabile a un trattamento di dati personali come quello di cui trattasi nel procedimento principale.
50. Peraltro, come esposto dall'avvocato generale ai paragrafi da 46 a 59 delle sue conclusioni, tale constatazione non può essere messa in discussione dagli argomenti della NADA vertenti, da un lato, sul fatto che la politica antidoping sarebbe, in forza della ripartizione delle competenze prevista dal diritto dell'Unione, di competenza degli Stati membri, nonostante la competenza di sostegno prevista nel settore dello sport all'articolo 165 TFUE, e, dall'altro, sul fatto che la pratica dello sport sarebbe un'attività priva di carattere economico.
51. Pertanto, la circostanza che un trattamento di dati personali abbia luogo nell'ambito di un'attività che rientra nella competenza degli Stati membri non è di per sé rilevante per escludere detto trattamento dall'ambito di applicazione del RGPD sulla base del suo articolo 2, paragrafo 2, lettera a), dal momento che esso non rientra né in un'attività che mira a salvaguardare la sicurezza nazionale né in un'attività che può essere ascritta alla stessa categoria (v., in tal senso, sentenza del 30 aprile 2025, Inspektorat kam Visshia sadeben savet, C‑313/23, C‑316/23 e C‑332/23, EU:C:2025:303, punto 104).
52. Parimenti, il carattere asseritamente non economico della pratica dello sport non ha affatto l'effetto di consentire di collocare tale attività nella stessa categoria della salvaguardia della sicurezza nazionale, cosicché tale carattere non può far rientrare l'attività di cui al procedimento principale nell'eccezione prevista da tale disposizione e sottrarla quindi all'ambito di applicazione del RGPD.
53. Tale conclusione è peraltro corroborata dal considerando 112 del RGPD, che fa esplicito riferimento alla possibilità, in applicazione delle disposizioni contenute nel capo V di tale regolamento, di «trasferimenti [verso paesi terzi o organizzazioni internazionali] di dati richiesti e necessari per importanti motivi di interesse pubblico, ad esempio in caso di scambio internazionale di dati (...) al fine di ridurre e/o eliminare il doping nello sport».
54. Tenuto conto delle considerazioni che precedono, occorre rispondere alla prima questione dichiarando che l'articolo 2, paragrafo 2, lettera a), del RGPD, in combinato disposto con l'articolo 16, paragrafo 2, prima frase, TFUE, deve essere interpretato nel senso che rientra nell'ambito di applicazione del diritto dell'Unione, nonché in quello di tale regolamento, un trattamento di dati personali consistente nel pubblicare, in applicazione di norme nazionali antidoping, i nomi degli atleti sanzionati per una violazione di tali norme, la disciplina sportiva praticata da questi ultimi, la violazione di dette norme commessa, la sanzione inflitta ai suddetti atleti nonché l'inizio e la fine di tale sanzione.
Sulla seconda questione
55. Con la sua seconda questione, il giudice del rinvio chiede, in sostanza, se l'articolo 9 del RGPD debba essere interpretato nel senso che l'informazione, secondo cui una determinata persona ha commesso una violazione specifica delle norme antidoping ed è interdetta dalla partecipazione a competizioni nazionali e internazionali per tale violazione, rientra nella nozione di «dati relativi alla salute», ai sensi del suddetto articolo 9.
56. L'articolo 9 del RGPD, relativo, come indica il suo titolo, ai trattamenti vertenti su «categorie particolari» di dati personali, erige a principio il divieto di siffatti trattamenti. Infatti, come espressamente enunciato dal considerando 51 di tale regolamento, meritano una specifica protezione i dati personali che, per loro natura, sono particolarmente sensibili sotto il profilo dei diritti e delle libertà fondamentali, dal momento che il contesto in cui sono trattati potrebbe creare rischi significativi per questi diritti e libertà.
57. Tra tali categorie particolari di dati personali, elencate all'articolo 9, paragrafo 1, del RGPD, figurano i «dati relativi alla salute». Questi includono, ai sensi dell'articolo 4, punto 15, del suddetto regolamento, in combinato disposto con il suo considerando 35, tutti i dati personali che rivelano informazioni sullo stato di salute fisica o mentale passato, presente o futuro di una persona fisica, compresi i dati relativi alla prestazione di servizi di assistenza sanitaria a tale persona (sentenza del 4 ottobre 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, point 76).
58. A tal riguardo, la Corte ha già statuito che, alla luce dell'obiettivo del RGPD, che è quello di garantire un elevato livello di tutela delle libertà e dei diritti fondamentali delle persone fisiche, in particolare della loro vita privata, in relazione al trattamento dei dati personali che le riguardano, la nozione di «dati relativi alla salute» di cui all'articolo 9, paragrafo 1, di tale regolamento deve essere interpretata in senso ampio (sentenza del 4 ottobre 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, punto 81 e giurisprudenza citata).
59. In particolare, tale disposizione non può essere interpretata nel senso che il trattamento di dati personali idonei a rivelare, indirettamente, informazioni sensibili riguardanti una persona fisica è sottratto al regime di protezione rafforzato previsto da dette disposizioni, salvo pregiudicare l'effetto utile di tale regime e la tutela dei diritti e delle libertà fondamentali delle persone fisiche che esso mira ad assicurare (sentenza del 4 ottobre 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, punto 82 e giurisprudenza citata)
60. Pertanto, affinché dati personali possano essere qualificati come «dati relativi alla salute», ai sensi dell'articolo 9, paragrafo 1, del RGPD, è sufficiente che essi siano idonei a rivelare, mediante un'operazione intellettuale di raffronto o di deduzione, informazioni sullo stato di salute dell'interessato (sentenza del 4 ottobre 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, punto 83 e giurisprudenza citata).
61. Nel caso di specie, l'articolo 5, paragrafo 6, l'articolo 21, paragrafo 3, e l'articolo 23, paragrafo 14, dell'ADBG prevedono la divulgazione al pubblico delle squalifiche e delle sospensioni decise dall'ÖADR o dall'USK e della loro revoca, indicando il nome delle persone interessate, la durata della squalifica e i motivi di quest'ultima, «senza che sia possibile desumere dati relativi alla loro salute».
62. Ciò premesso, dalla domanda di pronuncia pregiudiziale risulta che l'ÖADR indica nei comunicati stampa pubblicati sul suo sito Internet il nome della sostanza vietata eventualmente in questione.
63. A tal riguardo, il giudice del rinvio si chiede se, in particolare qualora la pubblicazione di una violazione della normativa antidoping menzioni il nome della sostanza che l'interessato ha posseduto o assunto allo scopo di migliorare le sue prestazioni, tali dati possano essere considerati «dati relativi alla salute», ai sensi dell'articolo 9, paragrafo 1, del RGPD.
64. Secondo la giurisprudenza ricordata ai punti da 57 a 60 della presente sentenza, i dati relativi alle persone sanzionate per violazione delle norme nazionali antidoping possono essere qualificati come «dati relativi alla salute» qualora siano, anche indirettamente, idonei a rivelare, mediante un'operazione intellettuale di raffronto o di deduzione, informazioni sullo stato di salute fisica o mentale passata, presente o futura di una persona fisica.
65. Orbene, ciò può avvenire solo quando il nome o la categoria della sostanza o del metodo vietato in questione è menzionato nella pubblicazione di cui trattasi. Infatti, in assenza di una siffatta menzione, nessun elemento di tale pubblicazione consente, in linea di principio, di fare il collegamento tra l'accertamento di una violazione delle norme nazionali antidoping, da un lato, e le informazioni sullo stato di salute della persona interessata, dall'altro.
66. Inoltre, la mera menzione del nome della sostanza vietata, presente nell'organismo di un atleta, quale risulta dalla prassi dell'ÖADR, generalmente non è sufficiente a rivelare informazioni sullo stato di salute, anche futuro, di tale atleta.
67. Per contro, non si può escludere che, quando è combinata con altri elementi, la menzione del nome o della categoria della sostanza o del metodo vietato di cui trattasi possa, quantomeno indirettamente, rivelare, mediante un'operazione intellettuale di raffronto o di deduzione, informazioni sullo stato di salute, eventualmente futuro, della persona interessata.
68. Ciò vale segnatamente quando detta persona assume una sostanza o utilizza un metodo vietato a causa di uno stato di salute particolare, ma non ha chiesto un'autorizzazione all'uso per fini terapeutici in esito alla procedura prevista dall'articolo 12 dell'ADBG.
69. Spetta al giudice del rinvio verificare, alla luce di tutte le circostanze che caratterizzano le pubblicazioni in esame nel procedimento principale, segnatamente quelle effettuate dall'ÖADR e che menzionano il nome della sostanza vietata in questione, se le informazioni pubblicate costituiscano «dati relativi alla salute», ai sensi dell'articolo 4, punto 15, e dell'articolo 9, paragrafo 1, del RGPD, letti alla luce del considerando 35 di tale regolamento.
70. Nell'ipotesi in cui, in esito a tale verifica, il giudice del rinvio giungesse alla conclusione che i dati di cui trattasi costituiscono effettivamente «dati relativi alla salute», ai sensi dell'articolo 9, paragrafo 1, del RGPD, la loro pubblicazione sarebbe in linea di principio vietata, fatte salve tuttavia le deroghe previste da tale articolo 9, paragrafo 2, che devono essere interpretate restrittivamente [v., in tal senso, sentenza del 4 luglio 2023, Meta Platforms e a. (Condizioni generali di utilizzo di un social network), C‑252/21, EU:C:2023:537, punti 68 e 76).
71. Pertanto, anche supponendo che le informazioni di cui trattasi nel procedimento principale costituiscano «dati relativi alla salute», ai sensi dell'articolo 9, paragrafo 1, del RGPD, tale constatazione non osta, come risulta in particolare dal considerando 51 di quest'ultimo, al loro trattamento, se è soddisfatta una delle condizioni enunciate al suddetto articolo 9, paragrafo 2.
72. In mancanza di un consenso esplicito da parte dei ricorrenti nel procedimento principale, conformemente a detto articolo 9, paragrafo 2, lettera a), del RGPD, la pubblicazione di tali dati sul sito Internet dell'ÖADR potrebbe segnatamente essere ammissibile sulla base di tale articolo 9, paragrafo 2, lettera g), a condizione che sia necessaria per motivi di interesse pubblico rilevante, sulla base del diritto dell'Unione o del diritto austriaco che deve essere proporzionato all'obiettivo perseguito, rispettare l'essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per la tutela dei diritti fondamentali e degli interessi dell'interessato, circostanza che spetta al giudice del rinvio verificare.
73. Da tutte le considerazioni che precedono risulta che occorre rispondere alla seconda questione dichiarando che l'articolo 9 del RGPD deve essere interpretato nel senso che l'informazione secondo cui una determinata persona ha commesso una specifica violazione delle norme antidoping ed è interdetta dalla partecipazione a competizioni nazionali e internazionali per tale violazione, in linea di principio, non rientra nella nozione di «dati relativi alla salute», ai sensi del suddetto articolo 9. Diverso è invece il caso in cui tale informazione menzioni il nome o la categoria della sostanza o del metodo vietato oggetto di detta violazione e tale menzione, unitamente ad altre informazioni riguardanti questa persona, sia tale da rivelare, anche indirettamente, mediante un'operazione intellettuale di raffronto o di deduzione, informazioni sullo stato di salute fisica o mentale passato, presente o futuro di detta persona.
Sulle questioni terza e quarta
74. Con le sue questioni terza e quarta, che occorre esaminare congiuntamente, il giudice del rinvio chiede, in sostanza, se l'articolo 5, paragrafo 1, lettere a) e c), e l'articolo 6, paragrafo 3, secondo comma, del RGPD debbano essere interpretati nel senso che ostano a una normativa nazionale che impone agli organismi nazionali antidoping l'obbligo di pubblicare dati personali riguardanti gli atleti sanzionati per violazione delle norme antidoping, quali il nome degli atleti interessati, la durata della squalifica loro comminata e i motivi di quest'ultima, ad eccezione degli atleti amatoriali, delle persone particolarmente vulnerabili e degli «informatori».
75. Esso chiede, in tale contesto, se detto regolamento imponga, prima della pubblicazione di tali dati, un bilanciamento caso per caso degli interessi in gioco da parte del titolare del trattamento al fine di verificare la proporzionalità di una siffatta pubblicazione alla luce delle circostanze individuali o se sia sufficiente al riguardo che il legislatore nazionale stabilisca astrattamente le situazioni in cui una pubblicazione può o deve essere omessa. In quest'ultima ipotesi, esso si chiede se le eccezioni previste dall'ADBG per le situazioni in cui sono in discussione atleti amatoriali, persone particolarmente vulnerabili o «informatori» consentano di garantire la proporzionalità delle pubblicazioni previste da tale normativa nazionale.
76. Al riguardo, occorre ricordare che ogni trattamento di dati personali deve, da un lato, essere conforme ai principi relativi al trattamento dei dati elencati all'articolo 5 del RGPD e, dall'altro, rispondere a uno dei principi relativi alla liceità del trattamento elencati all'articolo 6, paragrafo 1, di detto regolamento [sentenza del 22 giugno 2021, Latvijas Republikas Saeima (Punti di penalità), C‑439/19, EU:C:2021:504, punto 96].
77. Per quanto riguarda i principi relativi al trattamento dei dati personali, il giudice del rinvio fa specifico riferimento al principio di cui al suddetto articolo 5, paragrafo 1, lettera a), secondo cui i dati personali devono essere trattati in modo lecito, corretto e trasparente nei confronti dell'interessato, nonché al principio della «minimizzazione dei dati» di cui al predetto articolo 5, paragrafo 1, lettera c), secondo cui questi dati devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati, e che dà espressione al principio di proporzionalità [sentenza del 22 giugno 2021, Latvijas Republikas Saeima (Punti di penalità), C‑439/19, EU:C:2021:504, punto 98].
78. Per quanto riguarda i principi relativi alla liceità del trattamento, l'articolo 6, paragrafo 1, del RGPD prevede un elenco esaustivo e tassativo dei casi nei quali un trattamento dei dati personali può essere considerato lecito. Pertanto, per poter essere considerato lecito, un trattamento deve rientrare in uno dei casi previsti dal citato articolo 6, paragrafo 1 [sentenza del 22 giugno 2021, Latvijas Republikas Saeima (Punti di penalità), C‑439/19, EU:C:2021:504, punto 99 e giurisprudenza citata].
79. A tal riguardo, come sottolineato dall'avvocato generale al paragrafo 139 delle sue conclusioni, il trattamento dei dati personali in questione nel procedimento principale, vale a dire la pubblicazione su Internet dei nomi degli atleti sanzionati per violazione delle norme antidoping, della durata della squalifica loro comminata e dei motivi di quest'ultima, effettuato dalla NADA e dall'ÖADR, risulta dall'articolo 5, paragrafo 6, punto 4, e dall'articolo 21, paragrafo 3, dell'ADBG. Pertanto, si deve ritenere che tale trattamento possa rientrare nell'ipotesi menzionata all'articolo 6, paragrafo 1, primo comma, lettera c), del RGPD, in forza del quale il trattamento è lecito se, e nella misura in cui, è «necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento».
80. Inoltre, tale trattamento è effettuato al fine di lottare contro il doping e quindi nell'esecuzione di un compito di interesse pubblico, che corrisponde del resto agli obiettivi che l'azione dell'Unione persegue in forza dell'articolo 165, paragrafo 2, ultimo trattino, TFUE, vale a dire, in particolare, promuovere l'equità nelle competizioni sportive e proteggere l'integrità fisica e morale degli atleti. Pertanto, esso può rientrare anche nella prima ipotesi di cui all'articolo 6, paragrafo 1, primo comma, lettera e), del RGPD, in forza della quale il trattamento è lecito se, e nella misura in cui, è «necessario per l'esecuzione di un compito di interesse pubblico».
81. Per quanto riguarda i trattamenti rientranti nelle ipotesi di liceità di cui all'articolo 6, paragrafo 1, primo comma, lettere c) ed e), del RGPD, l'articolo 6, paragrafo 3, del RGPD prevede, in particolare, che il diritto dell'Unione o degli Stati membri sulla base del quale tali trattamenti sono effettuati deve rispondere a un obiettivo di interesse pubblico ed essere proporzionato all'obiettivo legittimo perseguito. La Corte ha rilevato che i requisiti previsti da quest'ultima disposizione costituiscono un'espressione dei requisiti derivanti dall'articolo 52, paragrafo 1, della Carta dei diritti fondamentali dell'Unione europea (in prosieguo: la «Carta»), cosicché essi devono essere interpretati alla luce, in particolare, di quest'ultima disposizione (v., in tal senso, sentenza del 1º agosto 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punto 69).
82. Sul punto, occorre ricordare che i diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali, garantiti agli articoli 7 e 8 della Carta, non sono prerogative assolute, ma vanno considerati alla luce della loro funzione sociale e bilanciati con altri diritti fondamentali. Limitazioni possono quindi essere apportate, a condizione che, conformemente all'articolo 52, paragrafo 1, della Carta, esse siano previste dalla legge e che rispettino il contenuto essenziale dei diritti fondamentali nonché il principio di proporzionalità. In virtù di tale principio, possono essere apportate limitazioni solo laddove siano necessarie e rispondano effettivamente a obiettivi di interesse generale riconosciuti dall'Unione o all'esigenza di proteggere i diritti e le libertà altrui. Esse devono operare nei limiti dello stretto necessario e la normativa che comporta l'ingerenza deve prevedere norme chiare e precise che disciplinano la portata e l'applicazione della misura in questione (sentenza del 1º agosto 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punto 70 e giurisprudenza citata).
83. È in considerazione di tutti questi elementi che occorre esaminare la conformità al RGPD di una normativa nazionale come quella di cui trattasi nel procedimento principale.
84. In particolare, occorre verificare, in primo luogo, se la pubblicazione su Internet dei nomi degli atleti sanzionati per violazione delle norme antidoping, della durata della squalifica loro comminata e dei motivi di quest'ultima, effettuata dalla NADA e dall'ÖADR e prevista dall'articolo 5, paragrafo 6, punto 4, e dall'articolo 21, paragrafo 3, dell'ADBG, persegua un obiettivo di interesse generale; in secondo luogo, se tale pubblicazione sia idonea a realizzare l'obiettivo di interesse generale perseguito; in terzo luogo, se l'ingerenza nei diritti fondamentali garantiti agli articoli 7 e 8 della Carta derivante da una siffatta pubblicazione sia limitata allo stretto necessario, nel senso che l'obiettivo non potrebbe ragionevolmente essere raggiunto in modo altrettanto efficace con altri mezzi meno lesivi di tali diritti fondamentali delle persone interessate, e, in quarto luogo, se tale ingerenza non sia sproporzionata rispetto a detto obiettivo, il che implica segnatamente una ponderazione dell'importanza di quest'ultimo e della gravità di detta ingerenza (v., in tal senso, sentenza del 22 novembre 2022, Luxembourg Business Registers, C‑37/20 e C‑601/20, EU:C:2022:912, punto 66).
85. Sotto un primo profilo, occorre constatare che persegue un obiettivo di interesse generale una normativa diretta a lottare contro il doping allo scopo di preservare lo svolgimento leale, integro ed obiettivo della competizione sportiva, di garantire pari opportunità tra gli atleti, di tutelare la loro salute nonché di far rispettare i valori etici nello sport (v., in tal senso, sentenza del 18 luglio 2006, Meca-Medina e Majcen/Commissione, C‑519/04 P, EU:C:2006:492, punti da 43 a 45). Peraltro, come rilevato al punto 80 della presente sentenza, quest'ultimo rientra tra gli obiettivi che l'azione dell'Unione persegue in forza dell'articolo 165, paragrafo 2, ultimo trattino, TFUE.
86. Sotto un secondo profilo, il perseguimento di tale obiettivo di interesse generale può essere garantito, al di là dell'adozione di sanzioni in caso di violazione delle norme antidoping, mediante la divulgazione al pubblico di dati personali come quelli di cui trattasi nel procedimento principale. Infatti, da un lato, una divulgazione del genere è idonea a dissuadere gli atleti dal violare tali norme e quindi a prevenire il doping nello sport, esponendo al pubblico le violazioni commesse e informando le persone che possono sponsorizzare l'atleta interessato. D'altro lato, tale divulgazione contribuisce ad evitare l'elusione di dette norme e quindi a garantire l'effettività delle sanzioni inflitte ostacolando, mediante l'informazione degli organizzatori di competizioni e dei potenziali datori di lavoro dell'atleta interessato, la partecipazione di quest'ultimo a competizioni dalle quali deve essere escluso.
87. Pertanto, la pubblicazione dei dati relativi alle violazioni delle norme antidoping è idonea a contribuire alla realizzazione dell'obiettivo di interesse generale perseguito, contribuendo alla dissuasione e alla prevenzione nonché all'effettività delle sanzioni inflitte.
88. Sotto un terzo profilo, quanto al carattere necessario dell'obbligo di pubblicazione di cui trattasi, occorre rilevare che esso serve a rafforzare le sanzioni inflitte, le quali sono necessarie per garantire l'esecuzione del divieto di doping (v., in tal senso, sentenza del 18 luglio 2006, Meca-Medina e Majcen/Commissione, C‑519/04 P, EU:C:2006:492, punto 44).
89. Ciò posto, come ricordato al considerando 39 del RGPD, tale requisito di necessità non è soddisfatto quando l'obiettivo di interesse generale considerato può ragionevolmente essere raggiunto in modo altrettanto efficace mediante altri mezzi meno lesivi dei diritti fondamentali degli interessati, in particolare i diritti al rispetto della vita privata e alla protezione dei dati personali garantiti agli articoli 7 e 8 della Carta, atteso che le deroghe e le restrizioni al principio della protezione di simili dati devono avere luogo nei limiti dello stretto necessario [sentenza del 22 giugno 2021, Latvijas Republikas Saeima (Punti di penalità), C‑439/19, EU:C:2021:504, punto 110]
90. Orbene, non risulta che misure meno lesive dei diritti al rispetto della vita privata e alla protezione dei dati personali degli interessati - quali una pubblicazione anonimizzata delle violazioni delle norme antidoping accertate e delle sanzioni inflitte o una pubblicazione limitata alle persone incaricate di far rispettare tali sanzioni, quali gli organizzatori di competizioni e le associazioni sportive - siano idonee a conseguire l'obiettivo menzionato al punto 85 della presente sentenza in modo altrettanto efficace quanto la pubblicazione nominativa sui siti Internet della NADA e dell'ÖADR delle informazioni di cui trattasi nel procedimento principale.
91. Infatti, da un lato, una sanzione inflitta per violazione delle norme antidoping raggiunge tanto più l'obiettivo di dissuasione e di prevenzione, incentivando gli altri atleti a non ricorrere ad un prodotto dopante e lo stesso atleta sanzionato a non ricorrervi nuovamente, quanto più essa è oggetto di pubblicità.
92. D'altro lato, tenuto conto delle specificità del doping nel settore dello sport, al fine di evitare l'elusione delle norme antidoping e di garantire l'effettività delle sanzioni inflitte, è necessario che queste ultime siano pubblicate e che l'identità dell'atleta interessato sia divulgata a un pubblico che non è limitato alle persone incaricate di far rispettare tali sanzioni, quali gli organizzatori di competizioni e le associazioni sportive. È vero che l'attuazione dell'interdizione a partecipare a competizioni sportive pronunciata nei confronti dell'atleta interessato richiede, in particolare, che gli organizzatori di tali competizioni ne siano a conoscenza. Tuttavia, per quanto riguarda gli atleti professionisti, la pubblicazione della sanzione considerata al di là di una cerchia ristretta di persone non sembra eccedere quanto necessario per informare le persone indirettamente interessate dalla sanzione e sui cui interessi essa incide, quali i datori di lavoro e gli sponsor, attuali o potenziali, dell'atleta sanzionato.
93. Sotto un quarto profilo, occorre ricordare che l'obiettivo di interesse generale non può essere perseguito senza tener conto del fatto che esso deve essere conciliato con i diritti fondamentali interessati dalla misura, effettuando un contemperamento equilibrato tra, da un lato, l'obiettivo di interesse generale e, dall'altro, i diritti di cui trattasi. Di conseguenza, al fine di valutare la proporzionalità del trattamento di cui al procedimento principale, occorre misurare la gravità dell'ingerenza nei diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali che tale trattamento comporta e verificare se l'importanza dell'obiettivo di interesse generale da quest'ultimo perseguito sia in relazione con tale gravità (v., in tal senso, sentenza del 1º agosto 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punto 98).
94. Al fine di valutare la gravità di tale ingerenza, si deve segnatamente tener conto della natura dei dati personali in questione, e in particolare della loro natura eventualmente sensibile, nonché della natura e delle modalità concrete del trattamento dei dati in questione, in particolare del numero di persone che hanno accesso a tali dati e delle modalità di accesso a questi ultimi (sentenza del 1º agosto 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punto 99).
95. Se il giudice del rinvio dovesse constatare che le informazioni di cui trattasi nel procedimento principale pubblicate dall'ÖADR menzionano il nome o la categoria della sostanza o del metodo vietato e costituiscono «dati relativi alla salute», conformemente alle circostanze menzionate al punto 73 della presente sentenza, esso dovrebbe non solo tenerne conto nell'ambito della sua valutazione del rispetto dei requisiti di proporzionalità derivanti dall'articolo 5, paragrafo 1, lettera c), e dall'articolo 6, paragrafo 3, del RGPD, ma dovrebbe altresì verificare, come rilevato ai punti da 70 a 72 della presente sentenza, se la pubblicazione di tali dati soddisfi le condizioni poste in particolare dall'articolo 9, paragrafo 2, lettera g), del regolamento in parola.
96. Per quanto riguarda il trattamento in questione effettuato in particolare dalla NADA, che pubblica sul suo sito Internet l'identità dell'atleta interessato senza tuttavia menzionare la sostanza eventualmente in questione, occorre constatare che una siffatta pubblicazione comporta nondimeno una grave ingerenza nei diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali, in quanto è tale da provocare la disapprovazione della società nonché da comportare una stigmatizzazione dell'interessato. Inoltre, è inerente a tale pubblicazione che le informazioni di cui trattasi siano quindi liberamente accessibili a un numero potenzialmente illimitato di persone. Peraltro, una volta pubblicate, dette informazioni possono essere riprodotte su altri siti Internet e rimanere così accessibili anche dopo la loro cancellazione dal sito Internet sul quale sono state inizialmente pubblicate. Siffatte circostanze sono tali da aggravare le conseguenze per i diritti fondamentali di cui trattasi delle persone interessate.
97. La gravità di tale ingerenza deve quindi essere bilanciata con l'importanza degli obiettivi perseguiti dalla pubblicazione in questione.
98. A tal riguardo, occorre ricordare che la terza e la quarta questione vertono sulla pubblicazione di dati personali riguardanti gli atleti professionisti che non rientrano nelle eccezioni previste dall'ADBG, le quali riguardano gli atleti amatoriali, le persone particolarmente vulnerabili e gli «informatori». Tale pubblicazione non implica, secondo tale legge, alcuna valutazione individuale in funzione delle circostanze.
99. È in tale contesto che il giudice del rinvio si chiede se il RGPD imponga, prima della pubblicazione di tali dati, un bilanciamento caso per caso degli interessi in gioco da parte del titolare del trattamento al fine di verificare la proporzionalità di una siffatta pubblicazione alla luce delle circostanze individuali o se sia sufficiente al riguardo che il legislatore nazionale stabilisca astrattamente le situazioni in cui una pubblicazione può o deve essere omessa.
100. Come emerge dagli articoli 21 e 23 dell'ADBG, il legislatore austriaco ha ipotizzato situazioni predefinite indipendentemente dalle circostanze proprie di ogni singolo caso, precisando gli elementi della pubblicazione e fissando tuttavia talune eccezioni. Esso ha quindi delimitato tale pubblicazione ed effettuato un bilanciamento astratto dell'interesse degli atleti i cui dati personali sono divulgati, da un lato, e degli interessi connessi alla lotta antidoping, dall'altro.
101. Tuttavia, tenuto conto della gravità dell'ingerenza nei diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali delle persone interessate che risulta, come rilevato al punto 96 della presente sentenza, dalla messa in rete delle sanzioni in caso di violazione antidoping, non si può escludere che esistano, al di fuori di tali situazioni predefinite, circostanze specifiche alla luce delle quali una pubblicazione dei dati di cui trattasi risulta incompatibile con l'esigenza di un contemperamento equilibrato tra i diversi interessi in gioco, il quale consente, in particolare, che la gravità dell'ingerenza che la pubblicazione di cui trattasi comporta sia commisurata all'importanza degli obiettivi perseguiti.
102. Pertanto, in materia di lotta contro il doping nel settore dello sport, sebbene l'articolo 5, paragrafo 1, lettere a) e c), e l'articolo 6, paragrafo 3, secondo comma, del RGPD non richiedano che sia effettuato un bilanciamento individuale in tutti i casi, essi implicano tuttavia che, qualora le situazioni predefinite dalla normativa nazionale non consentano di per sé sole di garantire il rispetto del principio di proporzionalità in ciascun caso individuale, i titolari del trattamento tengano debitamente conto delle circostanze che caratterizzano il caso di specie e procedano a un siffatto bilanciamento individuale sulla base di queste ultime prima di pubblicare i dati in questione su Internet.
103. Tale bilanciamento dovrebbe tenere conto anche della gravità della violazione delle norme antidoping e della qualità della persona interessata nonché, in particolare, della questione se tale persona sia un atleta rinomato, che gode di notorietà a livello nazionale o internazionale nel suo specifico settore di attività o anche al di là di tale settore. Infatti, una responsabilità particolare si impone agli atleti di alto livello e che godono di una certa notorietà.
104. Inoltre, per quanto riguarda la durata della pubblicazione, più la durata della pubblicazione è lunga, più le conseguenze sugli interessi e sulla vita privata della persona interessata sono importanti e tanto più elevati sono i requisiti relativi, in particolare, alla proporzionalità di tale pubblicazione [v., in tal senso, sentenza del 7 dicembre 2023, SCHUFA Holding (Esdebitazione), C‑26/22 e C‑64/22, EU:C:2023:958, punto 95]. Ciò vale in particolare quando si tratta di una pubblicazione accessibile ad un numero potenzialmente illimitato di destinatari.
105. Una pubblicazione nominativa sui siti Internet della NADA e dell'ÖADR delle informazioni in questione nel procedimento principale per una durata che eccederebbe il periodo di applicazione delle sanzioni considerate non sarebbe proporzionata all'importanza dell'obiettivo perseguito, tenuto conto della gravità dell'ingerenza che una siffatta pubblicazione comporta nei diritti fondamentali sanciti agli articoli 7 e 8 della Carta.
106. Per quanto riguarda, più in particolare, una pubblicazione nominativa sui siti Internet della NADA e dell'ÖADR delle informazioni di cui trattasi nel procedimento principale, la cui durata corrisponde al periodo di applicazione delle sanzioni considerate, occorre rilevare che le sanzioni possono essere inflitte per un periodo di durata lungo, o addirittura molto lungo, o possono anche essere imposte a vita. Orbene, quando l'atleta interessato raggiunge, durante il periodo di applicazione delle sanzioni, un'età alla quale non sarà più in grado di esercitare l'attività sportiva di cui trattasi, una pubblicazione che superi manifestamente tale età risulta, in linea di principio, parimenti sproporzionata. Spetta quindi al titolare del trattamento assicurarsi, in funzione di tutte le circostanze del caso di specie, che l'ingerenza nei diritti fondamentali sanciti dagli articoli 7 e 8 della Carta, che la pubblicazione considerata comporta, sia commisurata all'importanza dell'obiettivo perseguito.
107. Tenuto conto di quanto precede, occorre rispondere alle questioni terza e quarta dichiarando che l'articolo 5, paragrafo 1, lettere a) e c), e l'articolo 6, paragrafo 3, secondo comma, del RGPD devono essere interpretati nel senso che essi non ostano a una normativa nazionale che impone agli organismi nazionali antidoping l'obbligo di pubblicare su Internet dati personali riguardanti tutti gli atleti sanzionati per violazione delle norme antidoping, quali il nome degli atleti interessati, la durata della squalifica loro comminata e i motivi di quest'ultima, ad eccezione degli atleti amatoriali, delle persone particolarmente vulnerabili e degli «informatori», a condizione che tale normativa consenta ai titolari del trattamento di procedere, al di fuori di tali eccezioni e prima di una siffatta pubblicazione, a un bilanciamento individuale degli interessi in gioco per garantire che detta pubblicazione sia effettuata in modo conforme a detto regolamento.
Sulla quinta questione
108. Con la sua quinta questione, il giudice del rinvio chiede, in sostanza, se l'articolo 10 del RGPD debba essere interpretato nel senso che esso si applica ai trattamenti dei dati personali relativi alle violazioni previste da una normativa nazionale antidoping e alle sanzioni inflitte per dette violazioni.
109. Tale giudice precisa al riguardo che le sanzioni in esame nel procedimento principale comprendono la revoca dei titoli e delle ricompense, nonché una sospensione di diversi anni o un'interdizione a vita dalla partecipazione a tutte le competizioni nazionali e internazionali. Esso indica inoltre che, ai sensi dell'articolo 24, paragrafo 4, dell'ADBG, le organizzazioni sportive non possono ricorrere a persone squalificate in forza della normativa antidoping.
110. Con tale questione, detto giudice desidera quindi sapere se i dati personali relativi alle violazioni previste da una normativa nazionale antidoping e alle sanzioni inflitte per siffatte violazioni costituiscano dati personali «relativi alle condanne penali e ai reati o alle connesse misure di sicurezza», ai sensi dell'articolo 10 del RGPD.
111. In forza dell'articolo 10 sopra citato, il trattamento di quest'ultima categoria di dati può avvenire soltanto sotto il controllo dell'autorità pubblica, a meno che esso non sia autorizzato dal diritto dell'Unione o degli Stati membri che preveda garanzie appropriate per i diritti e le libertà degli interessati.
112. Al riguardo, occorre ricordare che detto articolo 10 mira a garantire una maggiore protezione contro trattamenti che, a causa della natura particolarmente sensibile dei dati in questione, possono costituire un'ingerenza particolarmente grave nei diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali, garantiti dagli articoli 7 e 8 della Carta [sentenza del 22 giugno 2021, Latvijas Republikas Saeima (Punti di penalità), C‑439/19, EU:C:2021:504, punto 74 e giurisprudenza citata].
113. Al fine di determinare se un accesso del genere costituisca un trattamento di dati personali relativi a «reati», ai sensi dell'articolo 10 del RGPD, si deve rilevare, anzitutto, che tale nozione fa riferimento esclusivamente agli illeciti penali e che la maggiore protezione prevista da tale articolo è riservata unicamente all'ambito penale come risulta, in particolare, dalla genesi del RGPD, da cui emerge che il legislatore dell'Unione ha omesso deliberatamente di includere l'aggettivo «amministrativo» nell'articolo 10 [v., in tal senso, sentenza del 22 giugno 2021, Latvijas Republikas Saeima (Punti di penalità), C‑439/19, EU:C:2021:504, punti 77 e 78].
114. La nozione di «reato», poi, decisiva per determinare l'applicabilità dell'articolo 10 del RGPD a dati personali, come quelli in esame nel procedimento principale, richiede, in tutta l'Unione, un'interpretazione autonoma ed uniforme, da effettuarsi tenendo conto dell'obiettivo perseguito da tale disposizione e del contesto in cui essa si inserisce, senza che sia determinante al riguardo la qualificazione data dallo Stato membro interessato alle violazioni considerate, ove tale qualificazione può essere diversa da uno Stato membro all'altro [v., in tal senso, sentenza del 22 giugno 2021, Latvijas Republikas Saeima (Punti di penalità), C‑439/19, EU:C:2021:504, punto 85 e giurisprudenza citata).
115. Infine, occorre constatare che le violazioni e le sanzioni antidoping riguardano solo un gruppo particolare di persone, vale a dire gli atleti, e che, al pari delle sanzioni disciplinari, esse hanno lo scopo di garantire il rispetto, da parte dei membri di tale gruppo, di norme di comportamento proprie di quest'ultimo.
116. A tal riguardo, dalla giurisprudenza della Corte europea dei diritti dell'uomo risulta che il fatto che una norma che sanziona una determinata violazione si rivolga a tutti i cittadini depone a favore del carattere penale della sanzione di cui trattasi (v., in tal senso, Corte EDU, 21 febbraio 1984, Öztürk c. Germania, CE:ECHR:1984:0221JUD000854479, § 53). Per contro, nel caso di un procedimento disciplinare condotto dinanzi ad organi corporativi e nell'ambito del quale è in gioco il diritto di esercitare una professione, tale Corte ha già constatato che non vi è dubbio sul carattere «civile» dei diritti in questione (Corte EDU, 2 ottobre 2018, Mutu e Pechstein c. Svizzera, CE:ECHR:2018:1002JUD004057510, § 58).
117. Orbene, a differenza della causa che ha dato luogo alla sentenza del 22 giugno 2021, Latvijas Republikas Saeima (Punti di penalità) (C‑439/19, EU:C:2021:504), nella quale l'attribuzione di punti di penalità per le infrazioni stradali commesse si basava su un testo di applicazione generale, la normativa nazionale di cui trattasi nel procedimento principale si applica a un gruppo di persone soggette a un corpo di norme specifiche.
118. Inoltre, le violazioni e le sanzioni antidoping previste da tale normativa hanno lo scopo non solo di proteggere la società e di punire l'interessato, ma anche di preservare, in particolare, l'integrità della competizione sportiva e la reputazione della disciplina sportiva considerata.
119. Ne consegue che le violazioni antidoping, come quelle in esame nel procedimento principale, non rientrano nella nozione di «reati» di cui all'articolo 10 del RGPD.
120. Tenuto conto di tutte le considerazioni che precedono, occorre rispondere alla quinta questione dichiarando che l'articolo 10 del RGPD deve essere interpretato nel senso che esso non si applica ai trattamenti di dati personali relativi alle violazioni previste da una normativa nazionale antidoping e alle sanzioni inflitte per tali violazioni, in quanto, indipendentemente dalla qualificazione di dette violazioni nel diritto interno, tali violazioni e sanzioni riguardano solo un gruppo particolare di persone, vale a dire gli atleti, alla stregua delle sanzioni disciplinari aventi lo scopo di garantire il rispetto, da parte dei membri di un gruppo, di norme di comportamento proprie di quest'ultimo.
Sulla sesta questione
121. In caso di risposta affermativa alla quinta questione, il giudice del rinvio chiede, in sostanza, se l'articolo 10 del RGPD debba essere interpretato nel senso che le decisioni di un'autorità incaricata del controllo del trattamento dei dati personali relative alle condanne penali e ai reati devono essere oggetto di un controllo giurisdizionale.
122. Tenuto conto della risposta negativa fornita alla quinta questione, non occorre rispondere alla sesta questione.
Sulla settima questione
123. Con la sua settima questione, il giudice del rinvio chiede, in sostanza, se un reclamo, presentato a un'autorità di controllo ai sensi dell'articolo 77 del RGPD, riguardante un'asserita violazione del diritto alla cancellazione previsto all'articolo 17 di tale regolamento, sia ricevibile qualora il trattamento di dati personali dell'interessato non abbia ancora avuto luogo né alla data di presentazione di tale reclamo né a quella in cui tale autorità statuisce su quest'ultimo, ma esistessero già indizi concreti del fatto che un trattamento di dati personali da parte del titolare del trattamento era imminente o avrebbe avuto luogo in un futuro prossimo. In caso di risposta negativa, esso si interroga sulla ricevibilità a posteriori del suddetto reclamo qualora tale trattamento avvenga successivamente nel corso del procedimento giurisdizionale.
124. Per quanto riguarda la prima sottoquestione, va ricordato che l'articolo 77, paragrafo 1, del RGPD prevede che l'interessato «che ritenga che il trattamento che lo riguarda violi [tale] regolamento» ha il diritto di proporre reclamo a un'autorità di controllo. L'articolo 77, paragrafo 2, del RGPD specifica le informazioni che l'autorità di controllo deve fornire al reclamante.
125. Secondo una giurisprudenza costante della Corte, nell'interpretare una disposizione del diritto dell'Unione, occorre tener conto non solo dei termini di tale disposizione secondo il loro significato abituale nel linguaggio corrente, ma anche del suo contesto e degli obiettivi perseguiti dal regolamento di cui fa parte [sentenze del 17 novembre 1983, Merck, 292/82, EU:C:1983:335, punto 12, e del 9 gennaio 2025, Österreichische Datenschutzbehörde (Domande eccessive), C‑416/23, EU:C:2025:3, punto 24).
126. Anzitutto, la formulazione dell'articolo 77 del RGPD non impone un termine per presentare un reclamo riguardante un trattamento di dati personali che costituisce un'asserita violazione di tale regolamento né contempla l'ipotesi in cui il trattamento di dati personali in questione non abbia ancora avuto luogo. Come rilevato dall'avvocato generale al paragrafo 186 delle sue conclusioni, tale articolo utilizza il verbo «violi», il che implica che il trattamento deve già aver avuto luogo, senza tuttavia escludere l'ipotesi di un trattamento futuro.
127. Come elementi contestuali, poi, occorre menzionare i compiti e i poteri delle autorità di controllo. In particolare, a norma dell'articolo 57, paragrafo 1, lettera f), del RGDP, ogni autorità di controllo è tenuta, nel suo territorio, a trattare i reclami che qualsiasi persona, a norma dell'articolo 77, paragrafo 1, di tale regolamento, ha il diritto di proporre quando considera che un trattamento di dati personali che la riguardano violi tale regolamento, e ad esaminarne l'oggetto nella misura necessaria. L'autorità di controllo deve trattare un siffatto reclamo con la dovuta diligenza [sentenza del 7 dicembre 2023, SCHUFA Holding (Esdebitazione), C‑26/22 e C‑64/22, EU:C:2023:958, punto 56 e giurisprudenza citata].
128. Inoltre, l'articolo 58, paragrafo 1, del RGPD conferisce a ciascuna autorità di controllo importanti poteri di indagine al fine di trattare i reclami presentati. Quando una siffatta autorità ravvisa, al termine della sua indagine, una violazione delle disposizioni di tale regolamento, essa è tenuta a reagire in modo appropriato al fine di porre rimedio all'inadeguatezza riscontrata. A tal fine, l'articolo 58, paragrafo 2, del RGPD elenca le diverse misure correttive che l'autorità di controllo può adottare e, a tal proposito, essa dispone di un margine di discrezionalità nella scelta dei mezzi appropriati e necessari [sentenza del 7 dicembre 2023, SCHUFA Holding (Esdebitazione), C‑26/22 e C‑64/22, EU:C:2023:958, punti 57 e 68].
129. Tra tali misure correttive, l'autorità di controllo può, ai sensi dell'articolo 58, paragrafo 2, lettera a), del RGPD, avvertire il titolare del trattamento del fatto che le operazioni di trattamento previste possono violare le disposizioni del RGPD. Essa dispone quindi di poteri di natura preventiva.
130. Ne consegue che la procedura di reclamo è concepita come un meccanismo idoneo a salvaguardare efficacemente i diritti e gli interessi delle persone interessate [sentenza del 7 dicembre 2023, SCHUFA Holding (Esdebitazione), C‑26/22 e C‑64/22, EU:C:2023:958, punto 58].
131. Peraltro, occorre ricordare che, in ordine all'articolo 3, punto 2, della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio (GU 2016, L 119, pag. 89), la Corte ha statuito che ogni tentativo di trattamento di dati può già costituire un trattamento di dati [v., in tal senso, sentenza del 4 ottobre 2024, Bezirkshauptmannschaft Landeck (Tentativo di accesso ai dati personali memorizzati in un telefono cellulare), C‑548/21, EU:C:2024:830, punti da 69 a 77].
132. Da tali elementi risulta che un intervento preventivo da parte delle autorità di controllo nell'ambito della gestione dei reclami non è escluso nel contesto del RGPD.
133. Infine, tale interpretazione è confermata dagli obiettivi perseguiti dal RGPD. Infatti, risulta in particolare dal suo considerando 10 che esso mira a garantire un livello elevato di protezione delle persone fisiche con riguardo al trattamento dei dati personali all'interno dell'Unione. Il considerando 11 del medesimo regolamento enuncia, inoltre, che un'efficace protezione di tali dati presuppone un rafforzamento dei diritti delle persone interessate.
134. Orbene, limitare l'obbligo gravante sulle autorità di controllo di trattare i reclami, di cui all'articolo 57, paragrafo 1, lettera f), del RGPD, interpretando l'articolo 77, paragrafo 1, del medesimo regolamento nel senso che esso esclude qualsiasi possibilità di proporre reclamo a un'autorità di controllo qualora il titolare del trattamento si appresti a procedere a tale trattamento, sarebbe in contrasto con gli obiettivi perseguiti da tale regolamento, in particolare con quello di garantire un livello elevato di protezione delle persone fisiche con riguardo al trattamento dei dati personali all'interno dell'Unione.
135. Pertanto, un reclamo effettuato ai sensi dell'articolo 77 del RGPD può essere considerato ricevibile, nonostante il fatto che il trattamento di dati personali oggetto di tale reclamo non abbia ancora avuto luogo alla data della presentazione, da parte dell'interessato, di detto reclamo all'autorità di controllo, a condizione, tuttavia, che il trattamento non abbia carattere puramente ipotetico.
136. Nel procedimento principale, il giudice del rinvio è investito di un ricorso avverso una decisione con la quale un reclamo diretto ad ottenere la cancellazione dei dati in questione è stato respinto per mancanza di interesse ad agire, con la motivazione che tali dati non erano stati ancora pubblicati. La ricorrente nel procedimento principale interessata, YT, ha invocato al riguardo il fatto che le era stata applicata una sospensione di quattro anni con decisione dell'ÖADR e che una pubblicazione di detti dati era quindi imminente.
137. Orbene, un reclamo diretto ad ottenere la cancellazione di dati personali presuppone, in linea di principio, che tali dati siano stati oggetto di trattamento. È infatti impossibile per il titolare del trattamento dare seguito a tale reclamo e cancellare i dati se non sono stati ancora divulgati.
138. Tuttavia, fatta salva la verifica da parte del giudice del rinvio, risulta che il reclamo presentato da YT sulla base dell'articolo 77 del RGPD mirava in realtà ad impedire la pubblicazione dei dati personali considerati, e non a cancellarli. Pertanto, tale reclamo era ricevibile dal momento che, alla data della sua presentazione presso l'autorità di controllo competente, esistevano già indizi concreti che il trattamento di dati personali in questione era imminente o avrebbe avuto luogo in un futuro prossimo. Una siffatta conclusione si impone a maggior ragione in quanto tale trattamento - vale a dire la pubblicazione su Internet del nome di YT, per essere stata sanzionata per una violazione delle norme antidoping, nonché della durata della squalifica comminatele - comporta, come constatato al punto 96 della presente sentenza, una grave ingerenza nei diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali dell'interessato.
139. Tenuto conto di tutte le considerazioni che precedono, occorre rispondere alla settima questione dichiarando che l'articolo 77 del RGPD deve essere interpretato nel senso che un reclamo proposto sulla base di tale articolo e diretto ad impedire la pubblicazione su Internet di dati personali relativi alla violazione delle norme antidoping è ricevibile qualora sussistano, alla data di presentazione di tale reclamo presso l'autorità di controllo competente, indizi concreti che tale pubblicazione è imminente o avrà luogo in un futuro prossimo.
Sulle spese
140. Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.
P.Q.M.
la Corte (Grande Sezione) dichiara:
1) L'articolo 2, paragrafo 2, lettera a), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), in combinato disposto con l'articolo 16, paragrafo 2, prima frase, TFUE, deve essere interpretato nel senso che rientra nell'ambito di applicazione del diritto dell'Unione, nonché in quello di tale regolamento, un trattamento di dati personali consistente nel pubblicare, in applicazione di norme nazionali antidoping, i nomi degli atleti sanzionati per una violazione di tali norme, la disciplina sportiva praticata da questi ultimi, la violazione di dette norme commessa, la sanzione inflitta ai suddetti atleti nonché l'inizio e la fine di tale sanzione.
2) L'articolo 9 del regolamento 2016/679 deve essere interpretato nel senso che l'informazione secondo cui una determinata persona ha commesso una specifica violazione delle norme antidoping ed è interdetta dalla partecipazione a competizioni nazionali e internazionali per tale violazione, in linea di principio, non rientra nella nozione di «dati relativi alla salute», ai sensi del suddetto articolo 9. Diverso è invece il caso in cui tale informazione menzioni il nome o la categoria della sostanza o del metodo vietato oggetto di detta violazione e tale menzione, unitamente ad altre informazioni riguardanti detta persona, sia tale da rivelare, anche indirettamente, mediante un'operazione intellettuale di raffronto o di deduzione, informazioni sullo stato di salute fisica o mentale passato, presente o futuro di detta persona.
3) L'articolo 5, paragrafo 1, lettere a) e c), e l'articolo 6, paragrafo 3, secondo comma, del regolamento 2016/679 devono essere interpretati nel senso che essi non ostano a una normativa nazionale che impone agli organismi nazionali antidoping l'obbligo di pubblicare su Internet dati personali riguardanti tutti gli atleti sanzionati per violazione delle norme antidoping, quali il nome degli atleti interessati, la durata della squalifica loro comminata e i motivi di quest'ultima, ad eccezione degli atleti amatoriali, delle persone particolarmente vulnerabili e degli «informatori», a condizione che tale normativa consenta ai titolari del trattamento di procedere, al di fuori di tali eccezioni e prima di una siffatta pubblicazione, a un bilanciamento individuale degli interessi in gioco per garantire che detta pubblicazione sia effettuata in modo conforme a detto regolamento.
4) L'articolo 10 del regolamento 2016/679 deve essere interpretato nel senso che esso non si applica ai trattamenti di dati personali relativi alle violazioni previste da una normativa nazionale antidoping e alle sanzioni inflitte per tali violazioni in quanto, indipendentemente dalla qualificazione di dette violazioni nel diritto interno, tali violazioni e sanzioni riguardano solo un gruppo particolare di persone, vale a dire gli atleti, alla stregua delle sanzioni disciplinari aventi lo scopo di garantire il rispetto, da parte dei membri di un gruppo, di norme di comportamento proprie di quest'ultimo.
5) L'articolo 77 del regolamento 2016/679 deve essere interpretato nel senso che un reclamo proposto sulla base di tale articolo e diretto ad impedire la pubblicazione su Internet di dati personali relativi alla violazione delle norme antidoping è ricevibile qualora sussistano, alla data di presentazione di tale reclamo presso l'autorità di controllo competente, indizi concreti che tale pubblicazione è imminente o avrà luogo in un futuro prossimo.
