Corte di giustizia UE/2025

Edizione provvisoria CONCLUSIONI DELL'[OSCURATO:PERSONA] presentate il 25 settembre 2025( 1 ) [OSCURATO:PERSONA]474/24 AR, YT, DI, RN in presenza di: [OSCURATO:PERSONA], [OSCURATO:PERSONA][OSCURATO:PERSONA] GmbH ([OSCURATO:PERSONA] [OSCURATO:PERSONA]), [OSCURATO:PERSONA][OSCURATO:PERSONA] (ÖADR) [domanda di pronuncia pregiudiziale, proposta dal Bundesverwaltungsgericht (Tribunale amministrativo federale, [OSCURATO:PERSONA])] « Rinvio pregiudiziale – Protezione dei dati personali – Regolamento (UE) 2016/679 – Articoli 2, 5, 6, 9 e 10 – Ambito di applicazione – Nozione di “dati relativi alla salute” – Nozione di “dati relativi alle condanne penali e ai reati” – Lotta contro il doping nel settore dello sport – Pubblicazione online del nome della persona che ha violato le norme antidoping, della durata della sua esclusione dagli eventi sportivi nonché delle ragioni di tale esclusione – Bilanciamento degli interessi – Proporzionalità – Articoli da 77 a 79 – Mezzi di ricorso – Tutela giurisdizionale effettiva » Indice I. [OSCURATO:PERSONA] normativo Diritto dell'Unione Diritto austriaco Procedimento principale, questioni pregiudiziali e procedimento dinanzi alla [OSCURATO:PERSONA] prima questione Sull'interpretazione restrittiva dell'eccezione di cui all'articolo 2, paragrafo 2, lettera a), del RGPD L'attività «antidoping» non è sottratta al RGPD … – … pur essendo di competenza degli [OSCURATO:PERSONA] membri – … e nonostante la sua «mancanza» di carattere economico Conclusione sulla prima questione [OSCURATO:PERSONA] seconda questione Sull'interpretazione estensiva della nozione di «dati relativi alla salute» Applicazione nel caso di specie Conclusioni sulla seconda questione [OSCURATO:PERSONA] quinta questione Implicazioni della natura «penale» delle condanne e delle infrazioni ai sensi dell'articolo 10 del RGPD [OSCURATO:PERSONA] della natura «penale» o meno, ai sensi dell'articolo 10 del RGPD, delle condanne e delle infrazioni antidoping II. Qualificazione giuridica dell’infrazione nel diritto interno Natura dell'infrazione III. Grado di severità della sanzione Conclusioni sulla quinta questione [OSCURATO:PERSONA] sesta questione Sulle questioni terza e quarta [OSCURATO:PERSONA] proporzionalità della pubblicazione in questione IV. Osservazioni preliminari e richiamo dei principi V. Sull'idoneità della pubblicazione a conseguire gli obiettivi perseguiti VI. [OSCURATO:PERSONA] necessità della pubblicazione alla luce degli obiettivi perseguiti VII. [OSCURATO:PERSONA] proporzionalità «stricto sensu», vale a dire la ponderazione degli interessi in gioco Sul momento della ponderazione Conclusione sulle questioni terza e quarta [OSCURATO:PERSONA] settima questione Il reclamo all'autorità di controllo prima del trattamento dei dati è ricevibile? Il reclamo all'autorità di controllo diventa ricevibile «a posteriori»? Conclusione sulla settima questione VIII. Conclusione I. [OSCURATO:PERSONA] 1. La regolamentazione sportiva si trova ai confini di diverse fonti normative. Lo testimonia la regolamentazione antidoping, frutto di una co-produzione normativa privata e pubblica. In particolare, il codice mondiale antidoping (CMA), emanato in applicazione dello Statuto dell’Agenzia mondiale antidoping (AMA), è uno strumento di natura privata che gli [OSCURATO:PERSONA] firmatari si sono impegnati a rispettare mediante la convenzione internazionale delle Nazioni unite contro il doping nello sport( 2 ). Tale regolamentazione, tesa ad armonizzare le politiche, le norme e i regolamenti antidoping delle organizzazioni sportive e delle autorità pubbliche in tutto il mondo, forma quindi un sistema giuridico settoriale transnazionale ben specifico( 3 ). 2. La Corte è già stata chiamata a pronunciarsi sulla compatibilità di normative sportive alla luce del diritto dell'Unione, in particolare sotto il profilo della libera prestazione di servizi o della concorrenza( 4 ). 3. La presente causa offre alla Corte l'occasione, inedita( 5 ), di considerare taluni aspetti della regolamentazione antidoping alla luce dei requisiti connessi alla protezione dei dati personali. Si tratta infatti di conciliare, da un lato, i requisiti di uno sport etico, che si tradurrebbero nel caso di specie nella pubblicazione nominativa, online, delle sanzioni inflitte agli atleti qualora violino le norme antidoping e, dall'altro, la protezione dei dati personali di detti atleti, derivante dal regolamento (UE) 2016/679( 6 ) (in prosieguo: il «RGPD»). 4. In un momento in cui il CMA è in fase di revisione( 7 ), la portata dell'emananda sentenza potrebbe oltrepassare le frontiere europee. II. [OSCURATO:PERSONA] normativo A. Diritto dell'Unione 5. L'articolo 16 TFUE prevede, al suo paragrafo 1, che ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano. Il suo paragrafo 2 dispone che «[i]l Parlamento europeo e il Consiglio, deliberando secondo la procedura legislativa ordinaria, stabiliscono le norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale da parte delle istituzioni, degli organi e degli organismi dell'Unione, nonché da parte degli [OSCURATO:PERSONA] membri nell'esercizio di attività che rientrano nel campo di applicazione del diritto dell'Unione, e le norme relative alla libera circolazione di tali dati. Il rispetto di tali norme è soggetto al controllo di autorità indipendenti». 6. L'articolo 165 TFUE prevede, al suo paragrafo 2, che l'azione dell'Unione è intesa, in particolare, a «sviluppare la dimensione europea dello sport, promuovendo l'equità e l'apertura nelle competizioni sportive e la cooperazione tra gli organismi responsabili dello sport e proteggendo l'integrità fisica e morale degli sportivi, in particolare dei più giovani tra di essi». A tal fine, il suo paragrafo 4 dispone che il «Consiglio, su proposta della Commissione, adotta raccomandazioni». 7. Il considerando 35 del RGPD dispone che «[n]ei dati personali relativi alla salute dovrebbero rientrare tutti i dati riguardanti lo stato di salute dell'interessato che rivelino informazioni connesse allo stato di salute fisica o mentale passata, presente o futura dello stesso. Questi comprendono informazioni sulla persona fisica raccolte nel corso della sua registrazione al fine di ricevere servizi di assistenza sanitaria (…) un numero, un simbolo o un elemento specifico attribuito a una persona fisica per identificarla in modo univoco a fini sanitari; le informazioni risultanti da esami e controlli effettuati su una parte del corpo o una sostanza organica, compresi i dati genetici e i campioni biologici; e qualsiasi informazione riguardante, ad esempio, una malattia, una disabilità, il rischio di malattie, l'anamnesi medica, i trattamenti clinici o lo stato fisiologico o biomedico dell'interessato, indipendentemente dalla fonte, quale, ad esempio, un medico o altro operatore sanitario, un ospedale, un dispositivo medico o un test diagnostico in vitro». 8. L'articolo 2 del RGPD, intitolato «Ambito di applicazione materiale», al suo paragrafo 1 dispone che «[i]l presente regolamento si applica al trattamento interamente o parzialmente automatizzato di dati personali e al trattamento non automatizzato di dati personali contenuti in un archivio o destinati a figurarvi». Dall’articolo 2, paragrafo 2, lettera a), del RGPD, emerge detto regolamento non si applica ai trattamenti di dati personali effettuati «per attività che non rientrano nell’ambito di applicazione del diritto dell’Unione». 9. L'articolo 4 del RGPD, intitolato «Definizioni», al punto 15 prevede che, ai fini del suddetto regolamento, si intende per «”dati relativi alla salute” i dati personali attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute». 10. L’articolo 5 di tale regolamento, intitolato «Principi applicabili al trattamento di dati personali», così recita: «1.      I dati personali sono: a)      trattati in modo lecito, corretto e trasparente nei confronti dell'interessato (“liceità, correttezza e trasparenza”); (...) c)      adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (”minimizzazione dei dati”); (...)». 11. L’articolo 6 del medesimo regolamento, intitolato «Liceità del trattamento», così dispone: «1.      Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni: (...) c)      il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento; (...) e)      il trattamento è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento; (...) 3.      La base su cui si fonda il trattamento dei dati di cui al paragrafo 1, lettere c) ed e), deve essere stabilita: a)      dal diritto dell’Unione; o b)      dal diritto dello Stato membro cui è soggetto il titolare del trattamento. La finalità del trattamento è determinata in tale base giuridica o, per quanto riguarda il trattamento di cui al paragrafo 1, lettera e), è necessaria per l’esecuzione di un compito svolto nel pubblico interesse o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento. Tale base giuridica potrebbe contenere disposizioni specifiche per adeguare l'applicazione delle norme del presente regolamento, tra cui: le condizioni generali relative alla liceità del trattamento da parte del titolare del trattamento; le tipologie di dati oggetto del trattamento; gli interessati; i soggetti cui possono essere comunicati i dati personali e le finalità per cui sono comunicati; le limitazioni della finalità, i periodi di conservazione e le operazioni e procedure di trattamento, comprese le misure atte a garantire un trattamento lecito e corretto, quali quelle per altre specifiche situazioni di trattamento di cui al capo IX. Il diritto dell’Unione o degli [OSCURATO:PERSONA] membri persegue un obiettivo di interesse pubblico ed è proporzionato all’obiettivo legittimo perseguito. (...)». 12. L'articolo 9, paragrafo 1, del RGPD, intitolato «Trattamento di categorie particolari di dati personali», vieta, in particolare, il trattamento dei dati personali relativi alla salute. L’articolo 9, paragrafo 2, lettera g), del regolamento in parola dispone che il paragrafo 1 non si applica se «il trattamento è necessario per motivi di interesse pubblico rilevante sulla base del diritto dell’Unione o degli [OSCURATO:PERSONA] membri, che deve essere proporzionato alla finalità perseguita, rispettare l’essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato». 13. L'articolo 10 del RGPD, intitolato «Trattamento dei dati personali relativi a condanne penali e reati», prevede che «[i]l trattamento dei dati personali relativi alle condanne penali e ai reati (...) deve avvenire soltanto sotto il controllo dell'autorità pubblica o se il trattamento è autorizzato dal diritto dell'Unione o degli [OSCURATO:PERSONA] membri che preveda garanzie appropriate per i diritti e le libertà degli interessati. Un eventuale registro completo delle condanne penali deve essere tenuto soltanto sotto il controllo dell'autorità pubblica». 14. L’articolo 77, del RGPD, intitolato «Diritto di proporre reclamo all’autorità di controllo», al suo paragrafo 1 prevede quanto segue: «Fatto salvo ogni altro ricorso amministrativo o giurisdizionale, l'interessato che ritenga che il trattamento che lo riguarda violi il presente regolamento ha il diritto di proporre reclamo a un'autorità di controllo, segnatamente nello Stato membro in cui risiede abitualmente, lavora oppure del luogo ove si è verificata la presunta violazione». 15. L'articolo 78 del RGPD, intitolato «Diritto a un ricorso giurisdizionale effettivo nei confronti dell'autorità di controllo», al paragrafo 1, così recita: «Fatto salvo ogni altro ricorso amministrativo o extragiudiziale, ogni persona fisica o giuridica ha il diritto di proporre un ricorso giurisdizionale effettivo avverso una decisione giuridicamente vincolante dell'autorità di controllo che la riguarda». B. Diritto austriaco 16. Dall'articolo 5, paragrafo 5, dell'[OSCURATO:PERSONA]-[OSCURATO:PERSONA]-Bundesgesetz 2021 (legge federale sull'antidoping 2021), del 23 dicembre 2020 (BGBl. I, 152/2020) (in prosieguo: l'«ADBG»), emerge che la [OSCURATO:PERSONA][OSCURATO:PERSONA] GmbH (Agenzia indipendente per la lotta contro il doping, [OSCURATO:PERSONA], in prosieguo: la «[OSCURATO:PERSONA]») è una società di pubblica utilità a responsabilità limitata che esercita le funzioni di organismo indipendente di controllo del doping ed è responsabile del trattamento dei dati personali. 17. In applicazione dell'articolo 5, paragrafo 6, punto 4, dell'ADBG, la [OSCURATO:PERSONA] informa la Bundes-Sportorganisation (Organizzazione federale dello sport, [OSCURATO:PERSONA]), le organizzazioni sportive, gli atleti, le altre persone nonché gli organizzatori di competizioni, e mette gratuitamente a disposizione del pubblico talune informazioni, vale a dire «le misure cautelari (ad esempio sospensioni) e le esclusioni di atleti e di altre persone giunte a [sua] conoscenza (…) e la loro revoca, indicando i nomi delle persone interessate, la durata dell’esclusione e i motivi di quest’ultima, senza che sia possibile desumere categorie particolari di dati personali degli interessati, in particolare dati relativi alla salute. Questa informativa può essere omessa per le persone particolarmente vulnerabili e gli atleti amatori (...)». 18. L'articolo 6, paragrafo 2, dell'ADBG prevede, in particolare, che la [OSCURATO:PERSONA] garantisca la sicurezza dei dati personali e delle categorie particolari di dati personali, conformemente agli articoli da 32 a 34 del RGPD. Tale disposizione precisa che «la necessità del trattamento dei dati risulta dall’efficace attuazione delle norme antidoping del [CMA], e delle disposizioni della presente legge federale, sempreché gli interessati si siano contrattualmente impegnati al rispetto del CMA». Inoltre, «[c]ategorie particolari di dati personali, segnatamente dati relativi alla salute, possono essere oggetto di trattamento solo se ciò sia strettamente necessario in forza delle disposizioni antidoping della presente legge federale o del CMA». 19. L'[OSCURATO:PERSONA][OSCURATO:PERSONA] (Commissione giuridica antidoping austriaca; in prosieguo: l'«ÖADR») è una commissione pubblica ed indipendente dagli organi governativi, dai privati e dalla [OSCURATO:PERSONA], la quale, in applicazione dell'articolo 7, paragrafo 1, dell'ADBG, deve «svolgere procedimenti disciplinari per l’organizzazione sportiva federale rispettivamente competente in conformità alle vigenti norme antidoping della competente federazione sportiva internazionale (procedimento antidoping)». 20. Ai sensi dell'articolo 21, paragrafo 3, dell'ADBG, l'ÖADR deve, «entro 20 giorni da quando la decisione è divenuta definitiva, informare la Bundes-Sportorganisation [Organizzazione federale dello sport], le organizzazioni sportive, le atlete e gli atleti, le altre persone e gli organizzatori di competizioni, nonché il pubblico, in merito alle misure cautelari imposte (ad esempio le sospensioni) e alle decisioni prese nell’ambito di procedimenti antidoping, indicando il nome dell’interessato, la durata della sospensione e i motivi di quest’ultima, senza che sia possibile desumere dati relativi alla salute della persona rispettivamente interessata. Questa informativa può essere omessa nel caso di persone particolarmente vulnerabili, di atleti amatori, nonché di persone che abbiano contribuito in maniera significativa alla scoperta di potenziali violazioni delle norme antidoping fornendo informazioni o altre indicazioni. La divulgazione di informazioni riguardanti atleti amatori viene effettuata per motivi di sanità pubblica nel caso in cui sia stata accertata una violazione delle norme antidoping ai sensi dell’articolo 1, paragrafo 2, punto 3 e punti da 9 a 11». 21. Dall'articolo 23, paragrafo 14, dell'ADBG risulta, in sostanza, che gli stessi obblighi gravano sull'[OSCURATO:PERSONA] (Commissione arbitrale indipendente, [OSCURATO:PERSONA]) (in prosieguo: l'«USK»). III. Procedimento principale, questioni pregiudiziali e procedimento dinanzi alla Corte 22. Nell'ambito di procedimenti antidoping, gli atleti AR, YT, DI e RN (in prosieguo: i «ricorrenti») sono stati oggetto di decisioni di sospensione (per un periodo determinato o a vita, a seconda dei casi), adottate dall'ÖADR, competente a condurre i procedimenti antidoping, o dall'USK, competente a riesaminare le decisioni dell'ÖADR. 23. Ai sensi della legislazione austriaca in materia di antidoping, le sospensioni decise dall'ÖADR o dall'USK sono pubblicate sotto forma di elenco sul suo sito Internet dalla [OSCURATO:PERSONA]. Per la durata delle sospensioni, tale elenco indica il nome e cognome dell’atleta interessato, lo sport praticato, la violazione delle norme antidoping commessa, la sanzione inflitta, nonché la data di inizio e fine della sanzione. L’ÖADR pubblica a sua volta gli stessi dati, nonché il nome della sostanza vietata eventualmente in questione, mediante un comunicato sul proprio sito Internet. 24. Il 14 e 15 ottobre 2021, i ricorrenti hanno chiesto all'ÖADR e alla [OSCURATO:PERSONA] di non far più apparire i loro nomi e le rispettive discipline sportive. L'ÖADR e la [OSCURATO:PERSONA] non hanno dato seguito a tali richieste. 25. Il 22 ottobre 2021, i ricorrenti hanno presentato all'[OSCURATO:PERSONA] (autorità austriaca per la protezione dei dati, [OSCURATO:PERSONA], in prosieguo: l'«autorità austriaca per la protezione dei dati») un reclamo ai sensi dell'articolo 77, paragrafo 1, del RGPD, diretto a constatare la violazione del diritto alla cancellazione e alla limitazione dei dati e ad ordinare all'ÖADR e alla [OSCURATO:PERSONA] di eliminare la pubblicazione dei loro nomi e degli sport praticati su detti siti Internet. Essi hanno altresì sostenuto che si trattava di una categoria particolare di dati personali nonché di un trattamento dei dati personali relativi alle condanne penali e ai reati, ai sensi, rispettivamente, degli articoli 9 e 10 del RGPD. Il regime indifferenziato di pubblicazione previsto nel diritto austriaco sarebbe incompatibile con l'articolo 6, paragrafo 3, del RGPD e non sarebbe né necessario né proporzionato. 26. Il 26 novembre 2021, l'autorità austriaca per la protezione dei dati ha respinto tale reclamo in quanto infondato. Per quanto riguarda, più in particolare, YT, il suo reclamo è stato respinto per mancanza di interesse ad agire, in quanto i suoi dati non erano ancora stati pubblicati. 27. I ricorrenti hanno quindi proposto un ricorso dinanzi al Bundesverwaltungsgericht (Tribunale amministrativo federale, [OSCURATO:PERSONA]), giudice del rinvio, fondato sull'articolo 78, paragrafo 1, del RGPD. In tale contesto, la [OSCURATO:PERSONA], prima convenuta nel procedimento principale, ha sostenuto che la pubblicazione dei dati personali sul suo sito Internet era necessaria per adempiere un obbligo legale al quale essa era soggetta e per l'esecuzione di un compito di interesse pubblico ai sensi dell'articolo 6, paragrafo 1, lettere c) ed e), del RGPD. 28. Il giudice del rinvio ha sospeso il procedimento principale a causa della presentazione, da parte dell'USK, della domanda di pronuncia pregiudiziale nella causa [OSCURATO:PERSONA] e a.( 8 ) Dopo il rigetto di tale domanda per irricevibilità con sentenza del 7 maggio 2024( 9 ), il procedimento nazionale dinanzi al giudice del rinvio ha ripreso il suo corso. 29. In tale contesto, il Bundesverwaltungsgericht (Tribunale amministrativo federale) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali: «1)      Se i trattamenti di dati di persone mediante i quali il loro nome, il tipo di sport praticato, la violazione di norme antidoping commessa, la sanzione, nonché la data di inizio e fine della sanzione vengono pubblicati sulla parte generale, accessibile al pubblico, del sito Internet della [[OSCURATO:PERSONA]] https://www.nada.at/de/recht/suspendierungen-sperren sotto forma di un’iscrizione in una tabella, nonché in comunicati stampa accessibili al pubblico dell’[ÖADR] sul sito https://www.oeadr.at, rientrino nell’ambito di applicazione del diritto dell’Unione ai sensi dell’articolo 16, paragrafo 2, prima frase, TFUE, cosicché il [RGPD] è applicabile ad un siffatto trattamento di dati personali. In caso di risposta affermativa alla prima questione: 2)      Se l’informazione relativa al fatto che una determinata persona ha commesso una determinata violazione della normativa antidoping ed è stata esclusa dalla partecipazione a competizioni (nazionali e internazionali) a motivo di detta violazione costituisca un «dato relativo alla salute» ai sensi dell’articolo 9 del RGPD. 3)      Se il RGPD – con particolare riguardo al suo articolo 6, paragrafo 3, secondo comma – osti a una normativa nazionale, la quale preveda la pubblicazione del nome delle persone interessate dalla decisione della Commissione giuridica antidoping austriaca o della Commissione arbitrale indipendente, della durata dell’esclusione e dei motivi della stessa, senza che sia possibile desumere dati relativi alla salute della persona in questione. Se sia rilevante al riguardo il fatto che, secondo la normativa nazionale, la divulgazione di tali informazioni al pubblico può essere omessa solo se l’interessato è un atleta amatore, un minore o una persona che ha contribuito in modo sostanziale alla scoperta di potenziali violazioni della normativa antidoping, fornendo informazioni o altre indicazioni. 4)      Se il RGPD – con particolare riguardo ai principi enunciati dal suo articolo 5, paragrafo 1, lettere a) e c), del RGPD – postuli in ogni caso, prima della pubblicazione, un bilanciamento tra gli interessi propri dell’interessato compromessi da una pubblicazione, da un lato, e l’interesse del pubblico ad essere informato sulla violazione della normativa antidoping commessa da un atleta, dall’altro lato. 5)      Se l’informazione concernente il fatto che una determinata persona ha commesso una determinata violazione della normativa antidoping ed è stata esclusa dalla partecipazione a competizioni (nazionali e internazionali) a motivo di detta violazione costituisca un trattamento di dati personali relativi a condanne penali e reati ai sensi dell’articolo 10 del RGPD. 6)      In caso di risposta affermativa alla quinta questione: Se le attività e rispettivamente le decisioni di un’autorità pubblica alla quale è conferito, ai sensi dell’articolo 10 del RGPD, il controllo sul trattamento dei dati personali relativi alle condanne penali e ai reati o a connesse misure di sicurezza, siano sottoposte ad un sindacato giurisdizionale. 7)      Se un reclamo ai sensi dell’articolo 77 del RGPD, concernente una violazione fatta valere ai sensi dell’articolo 17 del RGPD – fermo restando che, al momento della proposizione del reclamo all’autorità di controllo e della decisione di quest’ultima, non esisteva ancora un trattamento di dati personali dell’interessato, ma il trattamento ha avuto luogo nel corso del procedimento dinanzi al giudice dell’impugnazione – sia ricevibile e rispettivamente divenga ricevibile a posteriori, qualora già al momento della proposizione del reclamo sussistano indizi concreti che un trattamento di dati personali da parte del titolare del trattamento sia imminente e rispettivamente avrà luogo nel prossimo futuro». 30. Hanno presentato osservazioni scritte i ricorrenti nel procedimento principale, la [OSCURATO:PERSONA], l'autorità austriaca per la protezione dei dati, la Commissione, nonché i governi austriaco, lettone, dei [OSCURATO:PERSONA], polacco e finlandese. I ricorrenti nel procedimento principale, la [OSCURATO:PERSONA], la Commissione, nonché i governi austriaco, lettone e finlandese hanno altresì presentato le loro osservazioni orali all'udienza tenutasi pubblicamente il 13 maggio 2025. IV. [OSCURATO:PERSONA] 31. Dopo aver esaminato la prima questione pregiudiziale sull'applicabilità del RGPD, analizzerò le questioni seconda, quinta e sesta, che riguardano alcuni dati specifici, prima di esaminare la questione relativa al principio di proporzionalità (questioni pregiudiziali terza e quarta). Infine, esaminerò la settima questione, di natura più procedurale. A. [OSCURATO:PERSONA] prima questione 32. Con la sua prima questione, il giudice del rinvio chiede, in sostanza, se l'attuazione della normativa antidoping costituisca o meno un'«attività» rientrante nell'«ambito di applicazione del diritto dell'Unione» ai sensi dell'articolo 16, paragrafo 2, prima frase, TFUE. 33. Le implicazioni di tale risposta sono considerevoli in quanto, in caso di risposta negativa, il RGPD non si applicherebbe alla controversia di cui al procedimento principale. Infatti, adottato sulla base dell'articolo 16 TFUE, il RGPD, con il suo articolo 2, paragrafo 2, lettera a), esclude dal suo ambito di applicazione il trattamento di dati personali effettuato per attività «che non rientrano nell'ambito di applicazione del diritto dell'Unione». 34. In via preliminare, e anche se non è menzionata dal giudice del rinvio, desidero ricordare che l'eccezione di cui all'articolo 2, paragrafo 2, lettera d), del RGPD prevede che tale regolamento non si applichi ai trattamenti di dati personali effettuati «dalle autorità competenti a fini di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali (...)». Tale eccezione trova spiegazione nel fatto che i trattamenti di dati personali per tali finalità da parte delle «autorità competenti» sono disciplinati da un atto più specifico dell'Unione, vale a dire la direttiva (UE) 2016/680( 10 ), adottata lo stesso giorno del RGPD. Non è escluso, in questa fase, che il criterio sostanziale di tale eccezione possa essere soddisfatto nel caso di specie. Infatti, la questione se il trattamento dei dati considerato nel caso di specie sia effettuato ai fini di cui all'articolo 2, paragrafo 2, lettera d), del RGPD, rinvia all'oggetto della quinta questione pregiudiziale (relativa all'articolo 10 del RGPD), riguardante la natura penale o meno delle condanne e infrazioni oggetto dei trattamenti di dati in esame. Tuttavia, il criterio organico dell'eccezione di cui all'articolo 2, paragrafo 2, lettera d), del RGPD non è stato abordato: la [OSCURATO:PERSONA] e l’ÖADR costituiscono «autorità competenti» a norma dell’articolo 3, paragrafo 7, della direttiva 2016/680? In caso negativo, trova applicazione il RGPD, il che costituirà la mia ipotesi di lavoro per il proseguimento dell’analisi. Per contro, in caso affermativo e nell'ipotesi in cui il criterio sostanziale fosse parimenti soddisfatto, si porrebbe la questione dell'applicabilità della direttiva 2016/680 in luogo del RGPD, circostanza che spetta al giudice verificare. 35. Fatta questa osservazione, rilevo che, nel caso di specie, è pacifico che i trattamenti di dati personali in esame, effettuati dalle autorità austriache antidoping e consistenti nella pubblicazione su Internet dei nomi degli atleti interessati, della disciplina sportiva praticata, della violazione delle norme antidoping commessa, della sanzione inflitta nonché dell'inizio e della fine di tale sanzione, corrispondono ai trattamenti ai quali il RGPD si applica in forza del suo articolo 2, paragrafo 1, vale a dire trattamenti di dati personali automatizzati in tutto o in parte( 11 ). 36. La questione che si pone in modo più controverso è se tale trattamento rientri nell'ambito dell'eccezione di cui all'articolo 2, paragrafo 2, lettera a), del RGPD. 37. Nell'ambito della mia analisi ricorderò, in un primo momento, il principio di interpretazione restrittiva dell'eccezione di cui all'articolo 2, paragrafo 2, lettera a), del RGPD, e ne tratterò, in un secondo momento, le conseguenze riguardanti l'attività antidoping alla luce degli argomenti dedotti dalla [OSCURATO:PERSONA]. 1. Sull'interpretazione restrittiva dell'eccezione di cui all'articolo 2, paragrafo 2, lettera a), del RGPD 38. Per giurisprudenza costante, l'eccezione prevista dall'articolo 2, paragrafo 2, lettera a), del RGPD deve essere interpretata restrittivamente, in quanto rende inapplicabile il regime di protezione dei dati personali previsto dal RGPD e si discosta quindi dal suo obiettivo di protezione( 12 ). 39. Infatti, come indicato in sostanza nei considerando da 6 a 12 del RGPD, la rapida evoluzione tecnologica, la globalizzazione e la portata della raccolta e della condivisione di dati personali richiedono un quadro di protezione dei dati solido e coerente nell'Unione, che garantisca un livello elevato di protezione dei diritti e delle libertà delle persone fisiche con riguardo al trattamento di tali dati, equivalente in tutti gli [OSCURATO:PERSONA] membri, accompagnato da una rigorosa applicazione delle norme, in modo da creare la fiducia tale da consentire all'economia digitale di svilupparsi in tutto il mercato interno. 40. In tale ottica, l'ambito di applicazione ratione materiae del RGPD, fissato al suo articolo 2, è quindi necessariamente ampio e le eccezioni da esso previste sono oggetto di un'interpretazione restrittiva. La Corte ha quindi dichiarato che l'articolo 2, paragrafo 2, lettera a), del RGPD, letto alla luce del suo considerando 16, ha il solo scopo di escludere dalla sfera di applicazione di quest'ultimo i trattamenti di dati personali effettuati nell'ambito di un'attività volta a salvaguardare la sicurezza nazionale o di un'attività che può essere ascritta alla stessa categoria. 41. Le attività che hanno lo scopo di salvaguardare la sicurezza nazionale comprendono, in particolare, quelle volte a tutelare le funzioni essenziali dello Stato e gli interessi fondamentali della società( 13 ). 42. Per contro, non sono talune persone in quanto tali ad essere sottratte all’applicazione del RGPD, bensì unicamente alcune delle loro attività( 14 ). Infatti, la mera circostanza che un’attività sia propria dello Stato o di una pubblica autorità non è sufficiente affinché tale eccezione sia automaticamente applicabile all’attività considerata( 15 ). Non è neppure sufficiente il fatto che l’autore del trattamento considerato svolga attività relative alla sicurezza nazionale poiché l’attività di cui trattasi nell’ambito del trattamento interessato è l’unica pertinente( 16 ). Né è sufficiente che, nel contesto di un trasferimento di dati a fini commerciali da uno Stato membro a un paese terzo, i dati in questione possano essere trattati, durante o dopo tale trasferimento, dalle autorità del paese terzo interessato, per finalità di sicurezza pubblica, di difesa e di sicurezza dello Stato( 17 ). 43. Orbene, nel caso di specie, come sottolineato dal governo austriaco, l'articolo 1, paragrafo 1, dell'ADBG dispone che, «influendo sulle attitudini sportive, il doping è contrario al principio di equità nella competizione sportiva nonché al vero valore intrinseco dello sport (lo spirito sportivo) e presenta inoltre rischi per la salute». 44. Di conseguenza, non si può sostenere che le pubblicazioni di dati personali da parte della [OSCURATO:PERSONA] e dell'ÖADR costituiscano un trattamento di dati nell'ambito di un'attività, nella fattispecie la lotta antidoping, che sarebbe relativa alla sicurezza nazionale o che potrebbe essere ascritta a tale categoria prevista dall'articolo 2, paragrafo 2, lettera a), del RGPD. 45. Se ne deve concludere che l'eccezione fondata su tale disposizione del RGPD non è applicabile al trattamento di dati considerato nel caso di specie. 46. Gli argomenti della [OSCURATO:PERSONA], fondati, da un lato, sul fatto che l'attività antidoping compete agli [OSCURATO:PERSONA] membri e, dall'altro, sull'assenza di carattere economico di tale attività, non sono tali da inficiare tale constatazione, come cercherò di dimostrare adesso. 2. L'attività «antidoping» non è sottratta al RGPD … – … pur essendo di competenza degli [OSCURATO:PERSONA] membri 47. In primo luogo, la [OSCURATO:PERSONA] sostiene che la politica antidoping è un settore che, in forza della ripartizione delle competenze prevista dal diritto dell'Unione, resta di competenza degli [OSCURATO:PERSONA] membri, nonostante la competenza di sostegno prevista nel settore dello sport dall'articolo 165 TFUE. 48. Tuttavia, il fatto che il trattamento di dati personali abbia luogo nell'ambito di un'attività che rientra nella competenza degli [OSCURATO:PERSONA] membri non è di per sé rilevante per escludere detto trattamento dall'ambito di applicazione del RGPD sulla base del suo articolo 2, paragrafo 2, lettera a), dal momento che esso non rientra né in un'attività che mira a salvaguardare la sicurezza nazionale né in un'attività che può essere ascritta alla stessa categoria( 18 ). 49. Escludere dall'ambito di applicazione del RGPD un trattamento effettuato nell'ambito di un'attività per il solo motivo che tale attività rientrerebbe nella competenza degli [OSCURATO:PERSONA] membri sarebbe, a mio avviso, contrario sia al testo, sia al contesto e agli obiettivi di tale regolamento. 50. Infatti, quando il testo dell'articolo 2, paragrafo 2, lettera a), del RGPD richiama la nozione di «attività che non rientrano nell'ambito di applicazione del diritto dell'Unione», esso rinvia non a una logica di competenza, bensì a una logica sostanziale di definizione dell'ambito di applicazione, operata dal legislatore nel RGPD stesso, a ciò incaricato dall'articolo 16, paragrafo 2, TFUE. Tale disposizione « costituisce e delega» all’Unione una competenza legislativa in materia di protezione e di libera circolazione dei dati personali e definisce a tal fine un ambito di applicazione specifico( 19 ). Inoltre, nel contesto particolare della protezione dei dati personali, in ragione della natura autonoma delle problematiche connesse al loro trattamento, che hanno richiesto uno specifico intervento legislativo, la nozione di «ambito di applicazione di diritto dell’Unione» va oltre le ipotesi di «attuazione del diritto dell’Unione», ai sensi dell’articolo 51 della Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta»)( 20 ). Infine, «in molteplici ambiti di competenza degli [OSCURATO:PERSONA] membri, il diritto dell’Unione non rimane privo di rilevanza»( 21 ). Ciò vale in particolar modo per il RGPD, il cui ambito di applicazione, trasversale, è necessariamente ampio tenuto conto dei suoi obiettivi, ricordati al paragrafo 39 delle presenti conclusioni. 51. Pertanto, sebbene l'attività «antidoping» non sia disciplinata da un atto del diritto dell'Unione e competa agli [OSCURATO:PERSONA] membri, non se ne può dedurre che il trattamento effettuato nell'ambito di tale attività antidoping non rientri nell'«ambito di applicazione del diritto dell'Unione», ai sensi dell'articolo 2, paragrafo 2, lettera a), del RGPD, come interpretato dalla Corte nel contesto specifico del RGPD. 52. D’altronde, lo sport, dal Trattato di Lisbona in poi, è una competenza di sostegno dell’Unione( 22 ). L’articolo 165, paragrafo 2, TFUE prevede in tal senso che «[l]'azione dell’Unione è intesa (...) a sviluppare la dimensione europea dello sport, promuovendo l'equità e l'apertura nelle competizioni sportive e la cooperazione tra gli organismi responsabili dello sport e proteggendo l'integrità fisica e morale degli sportivi, in particolare dei più giovani tra di essi». Tali termini si riferiscono in particolare alle politiche antidoping. È vero che una siffatta competenza di sostegno non attribuisce all'Unione alcuna competenza a legiferare in materia di sport. Tuttavia, sebbene l’attività dell’Unione non sia normativa, essa esiste e consente a quest’ultima di adottare atti giuridici al fine di a sostenere, coordinare o completare l’azione degli [OSCURATO:PERSONA] membri, conformemente all’articolo 6 TFUE ( 23 ). Di conseguenza, il carattere «sportivo» delle norme antidoping non consente di considerare che la loro attuazione costituisca un’attività sottratta all’ambito di applicazione del diritto dell’Unione a norma dell’articolo 2, paragrafo 2, lettera a), del RGPD. – … e nonostante la sua «mancanza» di carattere economico 53. In secondo luogo, la [OSCURATO:PERSONA] sostiene che la pratica dello sport rientra nell'ambito di applicazione del diritto dell'Unione solo nella misura in cui essa costituisce un'attività economica. Quanto alle norme antidoping di cui trattasi, esse sarebbero fondate su considerazioni puramente sportive, cosicché il trattamento dei dati considerato nel caso di specie non costituirebbe una questione rientrante nell'attività economica e non rientrerebbe quindi nell'ambito di applicazione del diritto dell'Unione. 54. Neppure tale argomento, vertente su un'asserita «separabilità» delle norme antidoping, mi convince. 55. In effetti, l'affermazione secondo cui «l'esercizio dell'attività sportiva rientra nel diritto comunitario solo nella misura in cui costituisce un'attività economica ai sensi dell'articolo 2 del Trattato [CE]» ci riporta alla sentenza del 12 dicembre 1974, Walrave e Koch( 24 ). Orbene, da allora, l'Unione ha esercitato la propria competenza in materia di protezione dei dati sulla base dell'articolo 16 TFUE. [OSCURATO:PERSONA] membri hanno quindi inteso applicare il diritto dell'Unione in materia di protezione dei dati personali anche in settori non economici, come dimostrano il testo, il contesto e gli obiettivi del RGPD. 56. Anzitutto, il testo dell'articolo 2, paragrafo 2, lettera a), del RGPD determina l'ambito di applicazione ratione materiae di tale regolamento facendo riferimento alla nozione di «attività» e non di «attività economica» rientrante o meno nel diritto dell'Unione. 57. Il contesto del RGPD, e in particolare le sue disposizioni in materia di trasferimento di dati personali verso paesi terzi o organizzazioni internazionali (capo V del RGPD), conferma poi tale approccio testuale. Infatti, qualora non ricorrano le condizioni affinché abbia luogo un simile trasferimento, le deroghe in caso di situazioni particolari, previste dall'articolo 49 del RGPD, possono tuttavia autorizzare tale trasferimento. Orbene, il considerando 112 del RGPD indica espressamente che le deroghe per tali situazioni particolari «dovrebbero in particolare valere per i trasferimenti di dati richiesti e necessari per importanti motivi di interesse pubblico, ad esempio nel caso di scambio internazionale di dati (...) al fine di ridurre e/o eliminare il doping nello sport». Come sottolineato dal governo finlandese, tale considerando indica che il legislatore dell'Unione non ha ritenuto che il trattamento dei dati personali in materia di controllo antidoping, sebbene vertente su un'attività non economica, esulasse dall'ambito di applicazione di detto regolamento. 58. Infine, neppure il criterio fondato su un collegamento con il diritto dell'Unione attraverso un'attività economica mi sembra pertinente alla luce degli obiettivi perseguiti dal RGPD. Infatti, un criterio del genere porterebbe a dover determinare l'ambito di applicazione del RGPD caso per caso, a seconda che il trattamento dei dati considerato presenti o meno un collegamento con disposizioni particolari del diritto dell'Unione o con le libertà che disciplinano il mercato interno. Un siffatto approccio, variabile a seconda delle situazioni concrete di cui trattasi, rischierebbe di rendere incerti e aleatori( 25 ) i limiti dell'ambito di applicazione di detto regolamento, in violazione degli obiettivi essenziali di quest'ultimo, vale a dire garantire un'applicazione coerente ed omogenea delle norme di protezione in tutta l'Unione e rimuovere gli ostacoli ai flussi di dati personali all'interno di quest'ultima. 59. D’altronde, aggiungerei che, almeno per gli atleti professionisti, non si può escludere un collegamento tra la normativa antidoping e la loro attività professionale, e quindi un collegamento economico segnatamente con le libertà di circolazione e la libera prestazione dei servizi( 26 ). Infatti, le sanzioni previste sono atte a comportare conseguenze economiche non trascurabili, dovute alla sospensione, talvolta a vita. Se, per determinare l'ambito di applicazione del RGPD, ci si dovesse basare sull'esistenza di un tale collegamento economico, si giungerebbe al risultato, quantomeno poco soddisfacente, secondo cui il RGPD potrebbe, ad esempio, applicarsi agli atleti professionisti ma non agli atleti amatori( 27 ). Una tale disparità di trattamento a seconda che l'attività sia considerata economica o meno mal si concilia con il RGPD e i suoi obiettivi di protezione con riguardo ai dati personali. 3. Conclusione sulla prima questione 60. Alla luce di tutto quanto precede, propongo alla Corte di rispondere alla prima questione dichiarando che l'articolo 16, paragrafo 2, prima frase, TFUE e l'articolo 2, paragrafo 2, lettera a), del RGPD devono essere interpretati nel senso che non si può considerare che i trattamenti dei dati personali consistenti, in applicazione delle norme nazionali antidoping, nella pubblicazione dei nomi degli atleti interessati, della disciplina sportiva praticata, della violazione delle norme antidoping commessa, della sanzione inflitta nonché dell'inizio e della fine di tale sanzione, siano effettuati per «attività che non rientrano nell'ambito di applicazione del diritto dell'Unione», ai sensi dell'articolo 2, paragrafo 2, lettera a), del RGPD. B. [OSCURATO:PERSONA] seconda questione 61. Con la sua seconda questione, il giudice del rinvio chiede se la pubblicazione dei dati personali di cui trattasi riguardi «dati relativi alla salute» ai sensi dell'articolo 9 del RGPD. 1. Sull'interpretazione estensiva della nozione di «dati relativi alla salute» 62. Le implicazioni di questa questione risiedono nel fatto che l'articolo 9 del RGPD prevede un regime giuridico particolarmente protettivo per le categorie di dati personali cosiddetti «sensibili», tra cui si annoverano i «dati relativi alla salute» (o «dati sanitari»). Tali dati, considerati centrali nella vita intima degli individui, richiedono in quanto tali un elevato livello di protezione, tanto grazie alla tutela della vita privata e del segreto professionale quanto grazie alla normativa in materia di protezione dei dati personali( 28 ). Il loro trattamento è pertanto vietato dall'articolo 9, paragrafo 1, del RGPD, fatta salva l’applicazione di una delle deroghe previste dal suo paragrafo 2. Ciò si riflette nel considerando 51 del RGPD, relativo ai dati sensibili, secondo il quale tale specifica protezione si spiega «dal momento che il contesto del loro trattamento potrebbe creare rischi significativi per i diritti e le libertà fondamentali». In forza del considerando 54 del RGPD, si tratta di evitare, quando formano oggetto di un trattamento per motivi di interesse pubblico, che siano trattati «per altre finalità da parte di terzi, quali datori di lavoro, compagnie di assicurazione e istituti di credito»( 29 ). L'esigenza imperativa di protezione dei dati è aumentata anche con l'informatizzazione delle strutture sanitarie e la dematerializzazione dei flussi di dati e dei supporti( 30 ). 63. Va aggiunto che il divieto di trattamento dei dati sanitari, previsto dall'articolo 9, paragrafo 1, del RGPD, è indipendente dall'esattezza o meno delle informazioni rivelate dal trattamento dei dati o dal fatto che il titolare del trattamento agisca al fine di ottenere informazioni rientranti in una delle categorie particolari di cui a tale disposizione( 31 ). Da ciò si dovrebbe dedurre che l'obiettivo del titolare del trattamento, e in particolare il fatto che il trattamento sia necessario in virtù di un obbligo legale o di un interesse pubblico, se costituisce un elemento rilevante nel contesto dell'eventuale applicazione di una delle dieci deroghe previste dall'articolo 9, paragrafo 2, del RGPD, non è un elemento da prendere in considerazione in fase di qualificazione dei «dati sanitari»( 32 ). 64. Conformemente all'articolo 4, punto 15, del RGPD, in combinato disposto con il considerando 35 di detto regolamento, tali dati comprendono tutti i dati personali relativi alla salute fisica o mentale di una persona fisica, che rivelano( 33 ) informazioni sul suo stato di salute passato, presente o futuro. 65. La Corte ha già affermato che, alla luce dell'obiettivo del RGPD, la nozione di «dati relativi alla salute» di cui all'articolo 9, paragrafo 1, di tale regolamento deve essere interpretata estensivamente( 34 ). Secondo l'interpretazione contestuale e teleologica dell'articolo 4, punto 15, e dell'articolo 9 del RGPD, per essere qualificati come tali è sufficiente che i dati in questione siano, anche indirettamente , idonei a rivelare, mediante un'operazione intellettuale di raffronto o di deduzione , informazioni sullo stato di salute dell'interessato( 35 ). 66. In tale contesto, ho l'impressione che si possano distinguere schematicamente due categorie di dati sanitari. 67. Da un lato, i dati generati in ambito medico che mi sembrano poter essere considerati dati relativi alla salute «per natura»( 36 ), «oggettivi»( 37 ), che riguardano, come esposto al considerando 35 del RGPD, un'informazione riguardante, ad esempio, una malattia fisica o mentale, una disabilità, un rischio di malattia, un anamnesi medica, un trattamento clinico. Essi sono generalmente inclusi nella cartella clinica della persona interessata( 38 ). Analogamente, dati che, sebbene non medici, siano raccolti per essere inclusi nella cartella clinica, come avviene per dati amministrativi destinati a figurare in tale fascicolo, sono a tale titolo considerati dal considerando 35 del RGPD come «dati sanitari». In tale misura, si tratta di dati considerati relativi alla salute e che rivelano informazioni sullo stato di salute dell'interessato. 68. In tale contesto, la nozione di «rischio di malattie», menzionata al considerando 35 del RGPD, assume sicuramente una certa importanza. Come risulta dai lavori del gruppo di lavoro «Articolo 29», si tratta in questo caso anche dei dati relativi al futuro possibile stato sanitario di un interessato. Il rischio futuro di malattia «scientificamente comprovato o comunemente percepito» viene così preso in considerazione e viene citato, a titolo di esempio, il consumo eccessivo di alcol o di tabacco nonché il consumo di droga( 39 ). 69. D'altro canto, al di fuori del contesto medico, un dato può riguardare la salute, in particolare se il dato in questione è idoneo, anche indirettamente, a rivelare informazioni sullo stato di salute fisica o mentale passata, presente o futura di una persona fisica( 40 ). Questa è la «zona grigia»( 41 ) della nozione di «dato sanitario», che solleva la questione della misura in cui il loro legame indiretto con la salute possa portare a classificarli come tali. Il fattore determinante in questo caso è se sia possibile trarre, dai dati in questione, conclusioni sullo stato di salute della persona interessata, che si tratti di uno stato patologico o fisiologico, indipendentemente dall'attendibilità di tali conclusioni. A tale riguardo, possono essere presi in considerazione elementi contestuali( 42 ), nonché il legame tra le informazioni in questione e la possibilità di dedurne un aspetto della salute di una persona( 43 ). 70. Ad esempio, il gruppo di lavoro «Articolo 29» ha considerato come dato sanitario l'informazione relativa all'appartenenza di una persona a gruppi con finalità legate alla salute, quali «[OSCURATO:PERSONA]» o «[OSCURATO:PERSONA]»( 44 ). Inoltre, un dato grezzo derivante da una «misurazione di sé» (ad esempio il peso o la pressione sanguigna registrata da un orologio connesso) che di per sé non sarebbe un dato sanitario potrebbe, associato ad altre informazioni, consentire di trarre conclusioni sulla salute della persona interessata. Il gruppo di lavoro «Articolo 29» precisa a questo proposito che è opportuno effettuare una valutazione caso per caso: un'applicazione che monitora e memorizza il numero di passi effettuati durante alcuni giorni e cancella questi dati dopo una settimana potrebbe non trattare «dati sanitari». Tuttavia, un'applicazione che combina diversi anni di registrazioni quantificate complete di un individuo (ad esempio, monitoraggio delle abitudini di sonno e di esercizio fisico, registrazioni dettagliate dell'alimentazione, del peso, dell'indice di massa corporea, della pressione sanguigna e di altre statistiche vitali, nonché un diario dell'umore) è considerata un'applicazione che tratta dati relativi alla salute. In questo caso, non solo le conclusioni e le deduzioni, ma anche i dati grezzi saranno considerati dati sanitari( 45 ). 2. Applicazione nel caso di specie 71. Nel procedimento principale, la normativa di cui trattasi prevede che, oltre all'indicazione del nome degli atleti interessati e della durata della loro sospensione, siano divulgati i motivi di tale sospensione mediante rinvio alla categoria di infrazioni accertate. Qualora l’infrazione riguardi una sostanza o un metodo vietato, anche quest'ultima o quest’ultimo è indicato nel comunicato pubblicato sul sito Internet dell'ÖADR( 46 ). 72. Anzitutto, occorre ricordare che le infrazioni alle norme antidoping divulgate al pubblico sono suddivise in più categorie( 47 ). 73. Ritengo, al pari dell'autorità austriaca per la protezione dei dati, che solo le infrazioni previste alle categorie 2.1 e 2.2 debbano essere esaminate alla luce della nozione di «dati sanitari». Infatti, le altre infrazioni riguardano comportamenti illeciti che mi sembrano inidonei, in quanto tali, a rivelare, anche indirettamente, informazioni sullo stato di salute della persona interessata. Ad esempio, l'informazione secondo cui un atleta è venuto meno al suo obbligo di localizzazione (infrazione di categoria 2.4) o ha commesso traffico di sostanze vietate (infrazione di categoria 2.7) non rivela alcuna informazione sul suo stato di salute. 74. Occorre poi rilevare che l’accertamento delle infrazioni di categoria 2.1 e 2.2 implica test antidoping sull’atleta e l'analisi di campioni al fine di individuarvi le sostanze e i metodi vietati. Aggiungo che tali analisi sono effettuate da professionisti accreditati( 48 ) e quindi in un contesto quasi medico, se non addirittura medico. L’accertamento di tali infrazioni ci rinvia quindi alla nozione di «informazioni risultanti da esami e controlli effettuati su una parte del corpo o una sostanza organica» ai sensi del considerando 35 del RGPD. Tali informazioni potrebbero, pertanto, essere considerate dati relativi alla salute per loro natura . 75. A tal riguardo, è vero che l’esame è effettuato ai fini dell'individuazione di sostanze dopanti assunte per migliorare le prestazioni sportive, e il trattamento consistente nella divulgazione delle informazioni di cui trattasi risponde a un obiettivo repressivo, nei confronti dell’atleta interessato, e dissuasivo. Tuttavia, ricordo che l'obiettivo perseguito non è pertinente ai fini della qualificazione dei dati considerati( 49 ). 76. Parimenti, il fatto che le sostanze dopanti non siano medicinali non mi sembra convincente. Infatti, da un lato, la nozione di «dati relativi alla salute» non include unicamente i dati medici a scopo terapeutico. Del resto, alcuni medicinali sono nefasti per la salute se sono utilizzati in modo scorretto. D'altro lato, la lotta antidoping mira certamente a promuovere l'equità e l'uguaglianza degli atleti, ma costituisce anche una questione di salute( 50 ). Orbene, molte sostanze o metodi sono vietati in particolare a causa dei loro effetti nefasti sulla salute, anche se tali effetti variano a seconda del prodotto, della quantità assunta o della costituzione della persona interessata( 51 ). 77. Pertanto, per qualificare il dato considerato, indipendentemente dal fatto che l'obiettivo perseguito dall’atleta consista nel miglioramento della sua prestazione, non si può, a mio avviso, prescindere dagli effetti dell'assunzione di una sostanza vietata sulla salute di detto atleta, indipendentemente dal fatto che tali effetti siano presenti o futuri. 78. Infine, mi sembra che la circostanza che l'ÖADR pubblichi online il nome della sostanza vietata rilevata nell'organismo, sia tale da informare il pubblico sui rischi che la sua assunzione può comportare per la salute dell'atleta interessato. 79. È vero che la mera menzione del nome della sostanza vietata, presente nell'organismo, potrebbe essere considerata di per sé insufficiente a rivelare informazioni sullo stato di salute, anche futuro, dell’atleta interessato. Il contenuto stesso dell'informazione potrebbe, a tal riguardo, essere considerato troppo succinto e il nesso con lo stato di salute troppo indiretto, se non addirittura ipotetico, per costituire un «dato sanitario» ai sensi del RGPD. Tuttavia, non si può escludere che, unitamente ad altri elementi, tale informazione possa, anche indirettamente, essere tale da rivelare, mediante un'operazione intellettuale di raffronto o di deduzione , informazioni sullo stato di salute anche futuro dell'interessato. 80. Pertanto, ritengo che la menzione del nome della sostanza di cui trattasi (o della sua categoria) fornisca indicazioni che, pur essendo poco dettagliate, sono idonee a fornire informazioni, sia pure indirette, sullo stato di salute della persona interessata. Nel contesto specifico del RGPD, una siffatta menzione costituisce, in talune circostanze che spetta al giudice del rinvio verificare, un «dato relativo alla salute» ai sensi dell'articolo 4, punto 15, e dell'articolo 9, paragrafo 1, del RGPD, in combinato disposto con il considerando 35 di detto regolamento. 81. Per contro, ritengo che ciò non avverrebbe se la sostanza vietata di cui trattasi (o la sua categoria) non fosse menzionata. Infatti, in tal caso, il nesso tra l’accertamento di un'infrazione per la presenza nell'organismo di una sostanza vietata, da un lato, e le informazioni sullo stato di salute della persona interessata, dall'altro, sarebbe impossibile da fare, anche mediante un'«operazione intellettuale di raffronto o di deduzione». Tale nesso sarebbe quindi, a mio avviso, troppo indiretto affinché le informazioni divulgate possano rientrare nella categoria di «dati relativi alla salute» del RGPD. 3. Conclusioni sulla seconda questione 82. Propongo quindi alla Corte di dichiarare che l'articolo 9, paragrafo 1, del RGPD deve essere interpretato nel senso che non costituisce un trattamento di un dato relativo alla salute, ai sensi di tale disposizione, il fatto di divulgare il nome dell'atleta interessato, la durata della sua sospensione e i motivi di tale sospensione, a meno che tali motivi non includano il nome della sostanza o delle sostanze vietate la cui presenza è stata rilevata nell'organismo dell’atleta interessato, qualora tale indicazione sia idonea a rivelare, anche indirettamente, informazioni sullo stato di salute, anche futuro, dell’atleta interessato, circostanza che spetta al giudice del rinvio verificare. C. [OSCURATO:PERSONA] quinta questione 83. Il giudice del rinvio chiede, in sostanza, se la pubblicazione di cui trattasi costituisca un trattamento dei dati personali relativi alle condanne penali e ai reati ai sensi dell'articolo 10 del RGPD. Esso precisa al riguardo che le sanzioni nel procedimento principale comprendono la revoca dei titoli e delle ricompense, nonché una sospensione di diversi anni o un divieto a vita di tutte le competizioni (nazionali e internazionali). Esso indica inoltre che, ai sensi dell'articolo 24, paragrafo 4, dell'ADBG, le organizzazioni sportive non possono «ricorrere» a persone oggetto di una sospensione in forza della normativa antidoping e non possono quindi assumerle dietro retribuzione. 84. Prima di analizzare la natura delle condanne e delle infrazioni antidoping di cui trattasi, ricorderò le implicazioni di una qualificazione penale nel contesto dell'articolo 10 del RGPD. 1. Implicazioni della natura «penale» delle condanne e delle infrazioni ai sensi dell'articolo 10 del RGPD 85. Occorre ricordare che il legislatore dell'Unione non vieta il trattamento dei dati personali relativi alle condanne penali e ai reati, ma lo sottopone ad un controllo rafforzato, nella misura in cui può avere un impatto significativo sulla vita delle persone interessate, in particolare in termini di pregiudizio alla reputazione o di discriminazione in altri settori. Tale trattamento può quindi avvenire solo «sotto il controllo dell'autorità pubblica» o se la legislazione che autorizza tale trattamento di dati prevede «garanzie adeguate per i diritti e le libertà delle persone interessate»( 52 ). L'articolo 10 del RGPD riserva questa maggiore protezione al solo ambito penale, fermo restando che il termine «penale» indica sia le «condanne» che i «reati»( 53 ). 86. Possono quindi rientrare nell'ambito di applicazione dell'articolo 10 del RGPD la tenuta di registri delle condanne penali e dei reati da parte di organismi privati( 54 ), ad esempio nell'ambito della lotta contro il riciclaggio di denaro o nell'ambito delle attività dei laboratori di polizia scientifica( 55 ). Si può citare anche l'esempio dei trattamenti di dati personali da parte di società di noleggio veicoli che identificano e segnalano un conducente che abbia violato il codice della strada. 87. Nel caso di specie, la questione è quindi se il «casellario sportivo», messo in rete dalla [OSCURATO:PERSONA] e dall'ÖADR, costituisca un «registro» di condanne penali e reati rientranti nell'ambito di applicazione dell'articolo 10 del RGPD e implicante quindi una maggiore protezione. 2. [OSCURATO:PERSONA] della natura «penale» o meno, ai sensi dell'articolo 10 del RGPD, delle condanne e delle infrazioni antidoping 88. Secondo la giurisprudenza della Corte, la nozione di «reato», decisiva per determinare l'applicabilità dell'articolo 10 del RGPD a trattamenti di dati personali, richiede, in tutta l'Unione, un'interpretazione autonoma ed uniforme, da effettuarsi tenendo conto dell'obiettivo perseguito da tale disposizione e del contesto in cui essa si inserisce, senza che sia determinante al riguardo la qualificazione data dallo Stato membro interessato a tali infrazioni, qualificazione che può essere diversa da un paese all'altro. 89. I tre «criteri Engel», adottati dalla Corte( 56 ), vale a dire la qualificazione giuridica dell'illecito nel diritto nazionale, la natura stessa dell'illecito e il grado di severità della sanzione in cui l'interessato rischia di incorrere, sono quindi rilevanti per valutare la natura penale di un illecito. 90. Benché spetti al giudice del rinvio valutare, alla luce dei suddetti criteri, se le condanne e le infrazioni di cui trattasi nel procedimento principale abbiano natura penale ai sensi dell’articolo 10 del RGPD, la Corte, pronunciandosi sul rinvio pregiudiziale, può tuttavia fornire precisazioni che guidino detto giudice nella sua valutazione( 57 ). 91. Esaminerò quindi le infrazioni e le condanne di cui trattasi alla luce di questi tre criteri. a) Qualificazione giuridica dell’infrazione nel diritto interno 92. Dalla domanda di pronuncia pregiudiziale risulta che, nel diritto austriaco, l'ÖADR stessa conduce procedimenti disciplinari per la federazione sportiva competente. Parimenti, il governo austriaco ha sottolineato, in udienza, che la regolamentazione antidoping riveste un carattere sui generis in quanto le infrazioni antidoping sono violazioni delle norme delle federazioni sportive interessate, che gli atleti si impegnano a rispettare( 58 ), e non violazioni della legge. 93. La qualificazione delle infrazioni antidoping nel diritto nazionale non depone quindi nel senso di una qualificazione «penale» ai sensi dell'articolo 10 del RGPD. 94. Ciò detto, la portata di questo primo criterio Engel deve essere relativizzata, poiché anche per le infrazioni non qualificate come «penali» dal diritto nazionale, tale carattere può comunque derivare dalla natura stessa dell’infrazione in questione e dal grado di severità delle sanzioni che può comportare( 59 ). Ciò vale in particolare per la normativa antidoping, poiché il sistema transnazionale istituito coinvolge diversi attori, internazionali e nazionali( 60 ), e gli [OSCURATO:PERSONA] membri hanno integrato il CMA in modi diversi nei rispettivi ordinamenti giuridici. L'attuazione della normativa antidoping è quindi necessariamente diversificata a seconda degli [OSCURATO:PERSONA], in funzione dei diversi modelli di organizzazione statale, anche se sembra che, nella maggior parte degli [OSCURATO:PERSONA] membri, gli ONAD non abbiano competenze penali in materia( 61 ). 95. Occorre quindi esaminare gli altri due criteri Engel. b) Natura dell'infrazione 96. Tale secondo criterio impone di verificare se la sanzione corrispondente all'infrazione di cui trattasi persegua, in particolare, una finalità repressiva, senza che la mera circostanza che essa persegua anche una finalità preventiva sia tale da privarla della sua qualificazione come «sanzione penale». Infatti, è insito nella natura stessa delle sanzioni penali che esse siano volte tanto alla repressione, quanto alla prevenzione di condotte illecite. Per contro, una misura che si limiti a risarcire il danno causato dall’infrazione in questione non riveste natura penale( 62 ). 97. Dalla domanda di pronuncia pregiudiziale risulta che due categorie di sanzioni corrispondono alle infrazioni antidoping. 98. Si tratta, da un lato, del ritiro dei titoli e delle ricompense, che consiste nel recuperare le vincite al fine di riassegnarle agli atleti che vi avrebbero avuto diritto se l’atleta sanzionato non avesse partecipato alla competizione. Una siffatta sanzione sembra rispondere alla violazione della «regola del gioco» (la « lex sportiva ») e può essere considerata come diretta essenzialmente a ristabilire la lealtà delle competizioni( 63 ), anche se ciò non toglie nulla al suo carattere punitivo per l’atleta interessato. 99. Si tratta, d'altro lato, della sospensione della partecipazione alle competizioni sportive, che può essere di alcuni mesi o di diversi anni, o addirittura, come nel caso di uno dei ricorrenti nel procedimento principale, spingersi fino al divieto a vita di tutte le competizioni. È vero che tale sospensione può essere vista come il desiderio di «mettere al bando» l'atleta colpevole al fine di allontanarlo o di escluderlo dalla comunità sportiva e, in tal modo, di preservare l'integrità di tale comunità. Tuttavia, essa è altresì intesa a sanzionare l’atleta che ha violato le norme antidoping che si era impegnato a rispettare, nonché a dissuadere gli altri atleti dal fare altrettanto. 100. Lo scopo principale di queste sanzioni antidoping, almeno per quanto riguarda la sospensione dalle competizioni, non sembra quindi essere quello di risarcire il danno subito da terzi a causa dell'infrazione, ma piuttosto quello di punire il comportamento dell'atleta in questione, il che va nel senso di una condanna penale( 64 ). A questo proposito, la normativa antidoping, anche se non è un corpus di diritto penale, ha una funzione repressiva( 65 ). 101. Tuttavia, la qualificazione come «penale» ai sensi di questo secondo criterio Engel potrebbe suscitare esitazioni di due ordini. 102. Una prima esitazione deriva dalla constatazione che i procedimenti disciplinari sono stati piuttosto esaminati sotto il profilo civile dell'articolo 6 della CEDU dalla Corte di Strasburgo( 66 ), salvo, ad esempio, quando è prevista una privazione della libertà e la sanzione presenta un grado di severità sufficientemente elevato( 67 ). 103. In particolare, la Corte di Strasburgo ritiene che l'articolo 6 della CEDU sia applicabile, nella sua parte civile, alle «contestazioni relative alla revoca del diritto di esercitare una professione»( 68 ), anche nel settore sportivo( 69 ). 104. La natura penale del divieto di esercizio di una professione non è quindi scontata, tutt'altro. 105. Tuttavia, mi sembra che non se ne possa dedurre, ipso facto e in modo assoluto, che una sanzione disciplinare che comporta la sospensione delle competizioni sportive non possa mai cadere nella materia penale. 106. Infatti, un siffatto approccio apparirebbe puramente formale. 107. Inoltre, ricordo che i due aspetti, civile e penale, dell'articolo 6 della CEDU non si escludono necessariamente( 70 ) 108. Infine, occorre tenere a mente che la Corte di Strasburgo procede all'esame della natura penale o civile dell’infrazione di cui trattasi alla luce delle censure sollevate dinanzi ad essa e al fine di valutare se le garanzie dell’equo processo previste dall'articolo 6 della CEDU si applichino nella loro parte civile (paragrafo 1) o penale (paragrafi da 1 a 3). 109. Per contro, nel contesto dell'articolo 10 del RGPD, si tratta di valutare se la condanna o l’infrazione sia penale al fine di stabilire se il trattamento considerato (nel caso di specie, la pubblicazione) riguardi un'informazione meritevole di una protezione rafforzata che implica il controllo di un'autorità pubblica. A ciò si aggiunge il fatto che nulla impedisce di adottare un'interpretazione più ampia che garantisca una maggiore tutela dei diritti e delle libertà in questione( 71 ). È in tale contesto dell'articolo 10 del RGPD che spetta quindi al giudice del rinvio valutare se i criteri Engel, e in particolare il secondo criterio relativo alla natura dell’illecito, siano o meno soddisfatti 110. Una seconda esitazione deriva dal fatto che le infrazioni e le condanne antidoping riguardano solo un gruppo particolare di persone, vale a dire gli atleti, analogamente alle sanzioni disciplinari che hanno in genere lo scopo di garantire il rispetto, da parte dei propri membri, delle regole di condotta proprie del gruppo in questione( 72 ). Tali disposizioni sono volte a tutelare l'onore e la reputazione della professione e a mantenere la fiducia del pubblico in essa( 73 ). 111. Certamente, una siffatta constatazione consentirebbe di qualificare l'infrazione come «disciplinare» nel senso che esso si applica a un certo numero di persone interessate da un corpo di norme specifiche. Sotto tale profilo, la presente causa si distingue dalla causa che ha dato luogo alla sentenza [OSCURATO:PERSONA], in cui l'attribuzione dei punti di penalità per infrazioni stradali si basava su un testo di applicazione generale( 74 ). 112. Tuttavia, la qualificazione come «reato» ai sensi dell'articolo 10 del RGPD non è perciò esclusa. Infatti, se la portata meno ampia, propria delle normative disciplinari, fosse sufficiente per impedire la qualificazione come «penale» dell’infrazione, si sarebbe, anche in questo caso, rinviati ad un approccio puramente formale della nozione. Un siffatto approccio mal si concilia con la giurisprudenza che impone, al riguardo, di ricercare la finalità repressiva o preventiva della sanzione per definire la natura dell'infrazione, in contrapposizione ad un obiettivo puramente risarcitorio. 113. Orbene, nel caso di specie, come già menzionato( 75 ), le condanne antidoping non hanno lo scopo di risarcire i danni eventualmente causati da dette infrazioni (o non solo se si considera il danno causato alla comunità sportiva), ma perseguono, al contrario, una finalità repressiva tale da conferire loro una qualificazione come condanna «penale» secondo l'interpretazione di questo secondo criterio da parte della giurisprudenza, indipendentemente dal carattere generale o meno del testo applicabile. Rilevo peraltro che il Tribunale arbitrale dello sport (Svizzera), istituzione internazionale che propone un arbitrato o una mediazione nel mondo dello sport, riconosce esso stesso, se del caso, la natura «quasi penale» delle sanzioni antidoping( 76 ). 114. Inoltre, alcune infrazioni antidoping, come il traffico di sostanze vietate, possono dar luogo a sanzioni rientranti sia nella normativa antidoping che nella normativa penale nazionale. Certamente, la Corte di Strasburgo ha ritenuto che il fatto che atti suscettibili di comportare una sanzione disciplinare costituiscano anche reati non è sufficiente per considerare che una persona responsabile ai sensi del diritto disciplinare sia «accusata» di un reato( 77 ). Mi sembra tuttavia che ciò potrebbe costituire un elemento da prendere in considerazione nell'ambito del secondo criterio Engel. 115. Pertanto, nonostante le riserve espresse, ritengo, in questa fase, che non si possa escludere che, alla luce della loro natura repressiva o preventiva, talune infrazioni antidoping possano essere considerate di natura penale ai sensi dell'articolo 10 del RGPD. c) Grado di severità della sanzione 116. Questo terzo criterio Engel deve essere valutato in funzione della pena massima prevista dalle disposizioni pertinenti( 78 ). 117. Orbene, tale grado di severità varia in funzione dell'infrazione antidoping commessa. Ad esempio, la durata della sospensione prevista varia a seconda delle infrazioni antidoping di cui trattasi. Del pari, anche la recidiva e l'intenzione dell'autore possono svolgere un ruolo al riguardo( 79 ). 118. Dalla domanda di pronuncia pregiudiziale risulta che, nel caso di specie, può trattarsi di «una sospensione di diversi anni o di un divieto a vita di tutte le competizioni (nazionali e internazionali)», il che può quindi condurre ad un divieto definitivo di esercitare la professione di atleta. 119. È vero che non si tratta di una pena privativa della libertà. Tuttavia, ciò non è decisivo, poiché «la scarsa rilevanza di quanto è in gioco non può privare un’infrazione della sua natura penale intrinseca»( 80 ). Inoltre, la carriera sportiva professionistica dell'interessato può, a seconda della durata della sospensione, concludersi, in particolare in considerazione dell'età degli interessati e della constatazione che le carriere sono, in particolare in alcuni sport, relativamente brevi. 120. A tale sospensione, possibilmente «a vita», si aggiunge l'impossibilità pratica di ritrovare un impiego nel settore sportivo, tenuto conto del divieto di associazione con una persona sospesa per tutta la durata della sua sospensione. 121. Alle conseguenze economiche e finanziarie per la persona interessata si aggiungono infine una disapprovazione della società e una stigmatizzazione sia nella sfera pubblica che in quella privata. 122. Ne consegue, a mio avviso, che una siffatta sanzione riveste una gravità tale da avere un effetto equivalente a una condanna penale ai sensi dell'articolo 10 del RGPD, circostanza che spetta tuttavia al giudice del rinvio valutare in ciascun caso specifico. 123. Di conseguenza, ritengo che, in linea di principio, le infrazioni e le condanne antidoping debbano essere considerate come rientranti nell'ambito disciplinare, salvo nei casi in cui la condanna sia di una severità tale da ricadere nella materia penale. Una siffatta valutazione, che non può essere messa in discussione dalla sola qualificazione nel diritto interno, rientra peraltro nell'ambito dell'obiettivo repressivo e preventivo della condanna che conferisce natura penale all’infrazione commessa. In tale contesto, una sospensione a vita dalla partecipazione a qualsiasi competizione potrebbe quindi, a mio avviso, costituire una sanzione di effetto equivalente a una sanzione penale , tale da far scattare l'applicabilità dell'articolo 10 del RGPD. 124. Infine, aggiungo che l'argomento della [OSCURATO:PERSONA], che mette in guardia contro le implicazioni, per tutti gli ordini professionali, che comporterebbe l'applicazione dell'articolo 10 del RGPD ai trattamenti di dati relativi a infrazioni e condanne disciplinari, non mi convince. Infatti, non si tratta qui di «criminalizzare» in modo generale ed astratto tutte le infrazioni e le condanne disciplinari. L'analisi che precede ha dimostrato che la valutazione deve essere effettuata in funzione delle circostanze di ciascun caso di specie e ai fini dell'interpretazione dell'articolo 10 del RGPD che, in presenza di un «registro» di condanne e di reati rientranti nel suo ambito di applicazione, impone una protezione rafforzata. Del resto, anche la base giuridica dei trattamenti di dati relativi a simili infrazioni e condanne qualificate come «penali» può risiedere nella normativa, dell'Unione o degli [OSCURATO:PERSONA] membri, che prevede le «garanzie adeguate». 3. Conclusioni su lla quint a ques tione 125. Ritengo che occorra rispondere alla quinta questione dichiarando che l'articolo 10 del RGPD deve essere interpretato nel senso che esso può applicarsi ai trattamenti di dati personali relativi alle condanne o alle infrazioni previste dalla normativa nazionale antidoping, qualora, indipendentemente dalla qualificazione di tali infrazioni nel diritto interno, le condanne che esse implicano perseguano una finalità repressiva e presentino un grado di severità tale da avere un effetto equivalente a una sanzione penale, circostanza che spetta al giudice del rinvio verificare. D. [OSCURATO:PERSONA] sesta questione 126. In caso di risposta affermativa alla quinta questione, il giudice del rinvio chiede se le attività o le decisioni di un'autorità alla quale è stato affidato il controllo del trattamento dei dati personali relativi a condanne penali e a reati o a connesse misure di sicurezza ai sensi dell'articolo 10 del RGPD siano soggette a un sindacato giurisdizionale. 127. In primo luogo, va precisato che l'autorità in questione è l'«autorità pubblica» ai sensi dell'articolo 10 del RGPD, che non deve essere confusa con l'«autorità di controllo» ai sensi dell'articolo 51 del RGPD( 81 ). Si ricorda inoltre che il trattamento dei dati personali relativi alle condanne penali e ai reati può essere effettuato solo sotto il controllo dell'autorità pubblica o se il trattamento è autorizzato dal diritto dell'Unione o dal diritto di uno Stato membro che prevede garanzie adeguate per i diritti e le libertà degli interessati( 82 ). La risposta a tale questione va quindi messa in relazione con le risposte alle questioni pregiudiziali terza e quarta, esaminate più avanti( 83 ). 128. In secondo luogo, occorre constatare che il RGPD non contiene alcuna definizione della nozione di «autorità pubblica» o di «controllo dell'autorità pubblica» ai sensi dell'articolo 10 del regolamento in parola. A tal riguardo, spetta agli [OSCURATO:PERSONA] membri determinare quale organismo eserciti il controllo di «autorità pubblica» in caso di trattamento di dati personali ai sensi dell'articolo 10 del RGPD. Come indicato dalla Commissione, non è escluso che più servizi possano essere considerati tali e non si tratta necessariamente del «titolare del trattamento». 129. In terzo luogo, è vero che il testo dell'articolo 10 del RGPD non prevede in quanto tale un sindacato giurisdizionale sulle attività o decisioni di tale «autorità pubblica». Ciò premesso, l'interpretazione contestuale di tale disposizione depone a favore di un siffatto sindacato se gli interessati intendono far valere i loro diritti. Infatti, al pari di diverse parti interessate, ritengo che il controllo degli atti in materia di trattamento dei dati personali, anche qualora tale controllo faccia seguito a una decisione di un'autorità pubblica ai sensi dell'articolo 10 del RGPD, debba essere conforme all'articolo 79, paragrafo 1, del RGPD, sebbene il giudice del rinvio non vi faccia riferimento nella sua questione. In forza di tale disposizione, fatto salvo ogni altro ricorso amministrativo o extragiudiziale disponibile, compreso il diritto di proporre reclamo a un'autorità di controllo ai sensi dell'articolo 77 del medesimo regolamento, ogni interessato ha il diritto di proporre un ricorso giurisdizionale effettivo qualora ritenga che i diritti di cui gode a norma del predetto regolamento siano stati violati a seguito di un trattamento dei suoi dati personali effettuato in violazione del lo stesso regolamento. Del resto, come sottolineato dal governo finlandese, l'esistenza stessa di un sindacato giurisdizionale effettivo destinato ad assicurare il rispetto del diritto dell'Unione è inerente ad uno Stato di diritto. 130. In quarto luogo, siffatta interpretazione è confermata dalla finalità dell’articolo 10 del RGPD, consistente nel garantire una protezione maggiore con riguardo ai trattamenti che, a causa della natura particolarmente sensibile dei dati che ne sono oggetto, possono costituire un’ingerenza particolarmente grave nei diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali( 84 ). Un'interpretazione dell'articolo 10 del RGPD che escludesse, a priori e in generale, le attività o le decisioni di un'autorità pubblica ai sensi di tale disposizione da qualsiasi sindacato giurisdizionale sarebbe in contrasto con tali finalità. 131. Date siffatte circostanze e in mancanza di ulteriori precisazioni sulle attività o decisioni dell'autorità pubblica di cui trattasi, ritengo che occorra rispondere alla sesta questione pregiudiziale dichiarando che l'articolo 10 del RGPD, letto alla luce dell'articolo 79, paragrafo 1, del medesimo regolamento, deve essere interpretato nel senso che le attività o decisioni di un'autorità alla quale il controllo del trattamento dei dati personali relativi alle condanne penali e ai reati o alle correlative misure di sicurezza è stato affidato in forza di tale disposizione devono poter essere oggetto di un sindacato giurisdizionale. E. Sulle questioni terza e quarta 132. Nell'ambito di queste due questioni, che possono essere esaminate congiuntamente, il giudice del rinvio chiede, in sostanza, in primo luogo, se l'articolo 5, paragrafo 1, lettere a) e c), e l'articolo 6, paragrafo 3, secondo comma, del RGPD possano essere interpretati nel senso che ostano a un obbligo, imposto dalla legge nazionale agli organismi nazionali antidoping, di pubblicare i dati personali di cui trattasi, vale a dire, in particolare, il nome degli atleti sanzionati per violazione della regolamentazione antidoping, la durata della sospensione inflitta e i relativi motivi. 133. Esso chiede, in secondo luogo, se ai sensi del RGPD sia necessaria, prima della pubblicazione, una ponderazione caso per caso degli interessi in gioco da parte del titolare del trattamento o se il controllo di proporzionalità previsto dal legislatore sia sufficiente. 1. [OSCURATO:PERSONA] proporzionalità della pubblicazione in questione 134. Il legislatore nazionale ha previsto, nell'ADBG, la pubblicazione di taluni dati (nome dell’atleta, durata e motivi della sospensione), a titolo gratuito( 85 ), all'attenzione dell'organizzazione federale dello sport, delle organizzazioni sportive, degli atleti, delle altre persone (personale dirigente), degli organizzatori di competizioni, nonché del pubblico, senza che sia possibile risalire a dati relativi alla salute. È inoltre previsto che le informazioni da pubblicare possano essere omesse per il pubblico solo se l'interessato è un atleta amatore, particolarmente vulnerabile (minore) o una persona che ha contribuito in modo significativo all'individuazione di potenziali violazioni delle norme antidoping fornendo informazioni o altre indicazioni. Se non vado errato, in tal caso, né la menzione della sostanza vietata eventualmente in questione, né la pubblicazione mediante messa in rete su Internet sono esplicitamente previste dall'ADBG. 135. In pratica, la [OSCURATO:PERSONA] e l'ÖADR hanno attuato tale normativa mediante una pubblicazione via Internet per gli atleti professionisti, con menzione della sostanza vietata eventualmente in questione per quanto riguarda la pubblicazione da parte dell'ÖADR. a) Osservazioni preliminari e richiamo dei principi 136. Giova ricordare che l'obiettivo perseguito dal RGPD, quale risulta dal suo articolo 1 nonché dai suoi considerando 1 e 10, consiste, in particolare, nel garantire un livello elevato di protezione delle libertà e dei diritti fondamentali delle persone fisiche, in particolare del loro diritto alla vita privata con riguardo al trattamento dei dati personali, sancito all'articolo 8, paragrafo 1, della Carta e all'articolo 16, paragrafo 1, TFUE e strettamente connesso al diritto al rispetto della vita privata, sancito dall'articolo 7 della Carta. 137. A tal riguardo, i diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali, garantiti dagli articoli 7 e 8 della Carta, non sono prerogative assolute. Limitazioni possono quindi essere apportate, a condizione che, conformemente all’articolo 52, paragrafo 1, della Carta, esse siano previste dalla legge e rispettino il contenuto essenziale dei diritti fondamentali nonché il principio di proporzionalità( 86 ). 138. Nel caso di specie, la pubblicazione dei dati personali degli atleti interessati è effettuata sulla base di un obbligo legale imposto ai titolari del trattamento dalla legge nazionale( 87 ). 139. Pertanto, si può ritenere che tale trattamento di dati rientri nell'ipotesi di cui all'articolo 6, paragrafo 1, lettera c), del RGPD, che prevede che il trattamento è lecito qualora sia necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento. Tenuto conto del fatto che la lotta antidoping potrebbe essere qualificata come esecuzione di un compito di interesse pubblico( 88 ), il trattamento in questione può parimenti rientrare nell'ipotesi di cui all'articolo 6, paragrafo 1, lettera e), del RGPD. Non è tuttavia necessario stabilire quale di tali condizioni di liceità sia applicabile al caso di specie o se trovino applicazione entrambe( 89 ). 140. L’articolo 6, paragrafo 3, del RGPD precisa, con riferimento a queste due ipotesi di liceità del trattamento, di cui all’articolo 6, paragrafo 1, lettere c) ed e), del RGPD, che detto trattamento deve essere basato sul diritto dell’Unione o sul diritto dello Stato membro cui è soggetto il titolare del trattamento e che tale base giuridica deve rispondere a un obiettivo di interesse pubblico ed essere proporzionata all’obiettivo legittimo perseguito. 141. Analogamente, qualsiasi trattamento di dati personali deve essere conforme, in particolare, ai principi enunciati all'articolo 5, paragrafo 1, del RGPD , e in particolare ai principi di liceità e di «minimizzazione dei dati», di cui rispettivamente alle lettere a) e c) di tale disposizione. Secondo il principio di minimizzazione, i dati personali devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati, il che dà espressione al principio di proporzionalità( 90 ). 142. Le questioni sollevate dal giudice del rinvio implicano quindi di verificare se la normativa nazionale, quale base giuridica del trattamento di cui trattasi, soddisfi i requisiti derivanti da tali disposizioni, vale a dire che essa risponda a un obiettivo di interesse pubblico e sia proporzionata all'obiettivo legittimo perseguito. 143. Nel caso di specie, nell'ambito della lotta contro il doping nello sport, che è certamente un obiettivo di interesse pubblico, sono adottate sanzioni in caso di violazione delle norme antidoping. A ciò si aggiunge la divulgazione al pubblico dei dati personali in questione, la quale persegue due obiettivi, altrettanto legittimi, menzionati in udienza dalle parti interessate e dal governo austriaco. Da un lato, si tratta di dissuadere gli sportivi dal commettere violazioni delle norme antidoping e quindi di prevenire il doping nello sport. Dall'altro, si tratta di evitare l'elusione delle norme antidoping informando tutte le persone che possono sponsorizzare o ingaggiare l'atleta di cui trattasi che egli è sospeso( 91 ). 144. Occorre quindi, per il giudice del rinvio, verificare se la normativa nazionale che prevede il trattamento considerato, quale attuata dalla [OSCURATO:PERSONA] e dall'ÖADR, sia idonea a contribuire alla realizzazione degli obiettivi di interesse generale da essa perseguiti, necessaria e proporzionata a detti obiettivi, essendo la Corte competente a fornirgli gli elementi interpretativi utili. b) Sull'idoneità della pubblicazione a conseguire gli obiettivi perseguiti 145. Mi sembra che la pubblicazione dei dati di cui trattasi possa essere considerata senza troppe difficoltà come idonea a conseguire i due obiettivi perseguiti. 146. Sotto un primo profilo, invero, il fatto di pubblicare il nome dell'atleta sanzionato, nonché le ragioni e la durata della sua sospensione, informa il pubblico che il doping non resta impunito e che esso è accompagnato non solo da sanzioni ma anche da una pubblicazione nominativa della sanzione di sospensione. Ciò è tale da indurre il pubblico, e tra essi gli atleti, professionisti o amatori, ad astenersi dal violare le norme antidoping e risponde quindi all'obiettivo di dissuasione e di prevenzione. 147. Sotto un secondo profilo, la pubblicazione di tale sospensione consente altresì di informare le persone che potrebbero voler assumere l'atleta interessato a qualsiasi titolo in relazione allo sport, che egli è sospeso e non dovrebbe esercitare funzioni sportive. A ciò si aggiunge il fatto che associarsi ad un atleta sospeso costituisce a sua volta una violazione della normativa antidoping( 92 ). Una simile pubblicazione può quindi contribuire ad evitare che siffatte infrazioni vengano commesse per ignoranza. 148. Non vedo invece in che modo la menzione della sostanza vietata eventualmente in questione, non espressamente prevista dalla legge nazionale ma pubblicata dall'ÖADR, consenta di raggiungere gli obiettivi perseguiti. Infatti, né l'obiettivo di dissuasione né quello di evitare l'elusione delle norme antidoping richiedono di precisare a tal punto l'infrazione constatata. c) [OSCURATO:PERSONA] necessità della pubblicazione alla luce degli obiettivi perseguiti 149. Conformemente al considerando 39 del RGPD, verificare la necessità del trattamento in questione alla luce degli obiettivi perseguiti implica verificare se esistano misure alternative meno lesive dei diritti al rispetto della vita privata e alla protezione dei dati personali garantiti dagli articoli 7 e 8 della Carta, ma altrettanto efficaci per conseguire l'obiettivo invocato( 93 ). 150. In primo luogo, per quanto riguarda l'obiettivo di dissuasione, la divulgazione al pubblico del nome degli atleti interessati non mi sembra assolutamente necessaria in tutti i casi. 151. È vero che la dissuasione è tanto più efficace se, in particolare nel caso di un atleta famoso, le sanzioni sono accompagnate dalla divulgazione del suo nome. Una responsabilità particolare si impone in materia agli atleti di alto livello che godono di una certa notorietà, sicché la divulgazione del loro nome può risultare ancor più pertinente rispetto all'obiettivo perseguito. 152. Tuttavia, per gli atleti professionisti che non rientrano nelle eccezioni previste dall'ADBG, la normativa nazionale prevede una divulgazione nominativa automatica, la cui portata è resa illimitata dalla pubblicazione online( 94 ), a prescindere dalle circostanze particolari connesse alle circostanze individuali (notorietà dell’atleta, livello di competizione, recidiva, intenzionalità, ecc.). In tal senso, ritengo che, per il loro carattere generale, tali disposizioni nazionali possano andare al di là di quanto richiesto dalla prevenzione del doping mediante dissuasione. 153. In secondo luogo, per quanto riguarda l'obiettivo di impedire l'elusione del divieto di associarsi ad una persona sospesa, esso implica di sapere di quale atleta si tratti. Ciò rende pertanto necessaria la divulgazione del nome della persona sospesa. A tal riguardo, dalla domanda di pronuncia pregiudiziale risulta che, ai sensi dell'articolo 1, paragrafo 2, punto 8, dell'ADBG, può costituire un'infrazione antidoping il fatto che un atleta abbia un contatto con un membro del personale di supporto colpito da un divieto o da una sanzione. 154. Ciò premesso, la portata illimitata della pubblicazione, connessa alla messa in rete su Internet, mi sembra eccedere quanto necessario( 95 ). 155. Infatti, tale obiettivo di evitare l'elusione delle norme sembra applicarsi essenzialmente nel mondo dello sport( 96 ) e rivolgersi alle persone incaricate di far rispettare le sanzioni o responsabili di organismi sportivi o di associazioni sportive. Una diffusione più limitata dell'identità dell'atleta interessato sembrerebbe, in tale contesto, raggiungere l'obiettivo in modo efficace e meno lesivo per la protezione dei dati personali. Del resto, la [OSCURATO:PERSONA] ha spiegato in udienza che, per talune categorie di atleti di livello inferiore, l'informazione della sospensione può essere effettuata tramite le federazioni. 156. Per quanto riguarda gli operatori economici o datori di lavoro al di fuori del mondo dello sport, una pubblicazione più limitata non consentirebbe loro di sapere che l’atleta di cui trattasi è sospeso e che è loro vietato associarsi al medesimo. Tuttavia, qualora una persona non informata venisse accusata di associazione con una persona sospesa (atleta o altro), mi sembra che le norme sull'onere della prova consentirebbero, in un caso del genere, di verificare se tale «associazione» fosse consapevole e intenzionale( 97 ). Al contrario, il fatto di pubblicare la sospensione su Internet, associata al nome della persona sospesa interessata, mi sembra in definitiva che imponga a tutti la responsabilità di verificare se la persona con cui contrattano o si associano sia stata sospesa o meno. Mi sembra che siffatto sospetto generalizzato, indotto dalla pubblicazione online del «casellario sportivo», vada oltre l'obiettivo prefissato. 157. Aggiungo che la scelta della pubblicazione online da parte della [OSCURATO:PERSONA] e dell'ÖADR rischia di violare ulteriormente il diritto alla vita privata, in particolare data la sua portata urbi et orbi( 98 ). Questo è anche il parere del gruppo di lavoro «Articolo 29», che evidenzia il rischio di un utilizzo per altre finalità o di ulteriori trattamenti dei dati pubblicati online, più invasivi( 99 ). 158. A mio avviso, una pubblicazione nominativa, ma limitata agli organismi pertinenti e alle federazioni sportive, accompagnata, ad esempio, da una pubblicazione su Internet pseudonimizzata, consentirebbe di raggiungere i due obiettivi perseguiti in modo meno lesivo per la protezione dei dati personali e in modo più conforme al principio di minimizzazione dei dati. 159. Aggiungo che l'argomento dedotto dalla [OSCURATO:PERSONA], fondato sul confronto con la pubblicazione delle sanzioni nell'ambito di altre professioni, come gli avvocati o le professioni sanitarie, non mi convince. Infatti, come indicato al riguardo dal governo dei [OSCURATO:PERSONA], la pubblicazione dei nomi di avvocati o di medici sospesi appare necessaria poiché chiunque può essere parte in giudizio o paziente, mentre, nell'ambito del doping, è sufficiente che il nome dell’atleta interessato sia noto nell'ambiente sportivo, dalle federazioni sportive interessate, salvo ipotesi particolari da valutare caso per caso. 160. Di conseguenza, nutro seri dubbi sulla necessità del trattamento in questione alla luce degli obiettivi perseguiti. d) [OSCURATO:PERSONA] proporzionalità «stricto sensu», vale a dire la ponderazione degli interessi in gioco 161. Per valutare la proporzionalità del trattamento in questione, occorre procedere ad una ponderazione dei diversi diritti, libertà o interessi in gioco. Infatti, un obiettivo di interesse generale non può essere perseguito senza tener conto del fatto che esso deve essere conciliato con i diritti fondamentali considerati, il che implica, nel caso di specie, una ponderazione equilibrata tra, da un lato, l'obiettivo di interesse generale perseguito e, dall'altro, i diritti della persona i cui dati personali sono divulgati( 100 ). 162. Aggiungo che, nell'ambito di tale analisi, occorre tener conto delle risposte che la Corte fornirà alla seconda questione pregiudiziale, riguardante l'esistenza di dati relativi alla salute ai sensi dell'articolo 9 del RGPD, e alla quinta questione pregiudiziale, riguardante i dati relativi a condanne penali o reati, rientrante nell'ambito di applicazione dell'articolo 10 del RGPD. Infatti, il rispetto del principio di «minimizzazione» di dati sensibili ai sensi dell’articolo 9 del RGPD non osta a che dati personali vengano comunicati al pubblico quando detta comunicazione è necessaria e proporzionata( 101 ). Lo stesso vale qualora i dati in questione rientrino nell’ambito di applicazione dell’articolo 10 del RGPD, purché la normativa che autorizza tale comunicazione preveda garanzie adeguate per i diritti e le libertà degli interessati( 102 )]. Ciò posto, per quanto riguarda i dati rientranti nell’ambito di applicazione di queste due disposizioni, gli interessi delle persone interessate assumono particolare importanza nell’esercizio di ponderazione degli interessi in gioco( 103 ) 163. Nel caso di specie, il trattamento considerato, che include la pubblicazione online dell'identità dell'atleta interessato, costituisce una rilevante ingerenza nei diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali ed è tale da provocare la disapprovazione della società e comportare la stigmatizzazione dell'interessato. Questo è del resto l'effetto di «gogna elettronica» qui voluto. 164. La gravità di tale ingerenza deve quindi essere bilanciata con l'importanza degli obiettivi perseguiti dalla pubblicazione. 165. Rilevo che la questione del giudice del rinvio verte sulla pubblicazione prevista dall'ADBG, quale attuata dalla [OSCURATO:PERSONA] e dall'ÖADR, per gli atleti professionisti che non rientrano nelle eccezioni previste (le quali riguardano gli atleti amatori, le persone vulnerabili e gli «informatori»). La pubblicazione nei loro confronti consiste in una pubblicazione nominativa che è al contempo illimitata nella sua portata poiché è diffusa via Internet al pubblico, a volte illimitata nella sua durata nel caso delle sospensioni a vita (che riguarda uno dei ricorrenti nel procedimento principale), sistematica ed automatica , che non implica, ai sensi dell'ADBG, alcuna valutazione individuale in funzione delle circostanze. 166. Con tutta la prudenza che tale dimensione del controllo di proporzionalità richiede sempre( 104 ), sono incline a ritenere che la combinazione di tali diversi elementi (carattere nominativo, illimitato, sistematico ed automatico della pubblicazione) possa comportare, in talune circostanze, un'ingerenza nei diritti alla protezione dei dati personali degli interessati tale da non soddisfare i requisiti di una ponderazione equilibrata tra i diversi interessi in gioco. 167. Ad esempio, nel caso di una sanzione di sospensione lunga( 105 ), o addirittura a vita, di un atleta poco conosciuto, la cui vita sportiva professionale è terminata da un certo periodo di tempo, si potrebbe ritenere che la pubblicazione lecita dei suoi dati personali divenga, con il tempo, eccessiva rispetto alle finalità perseguite. 168. La [OSCURATO:PERSONA] sostiene che non occorre operare alcuna differenziazione a seconda della gravità o del carattere ripetuto delle violazioni commesse, in quanto ciò viene preso in considerazione nella fase della sanzione e non incide sulla pubblicazione, che deve avvenire indipendentemente dalle circostanze. Neppure tale argomento mi convince. Infatti, la pubblicazione risponde a obiettivi che, se rientrano nell'ambito della lotta antidoping, sono specifici e implicano una ponderazione degli interessi in gioco che consente di prendere in considerazione i requisiti del RGPD, non considerati nella fase della sanzione antidoping. 169. Pertanto, ritengo che un obbligo di pubblicazione di dati personali, come quello risultante dall'ADBG e attuato dall'ÖADR e dalla [OSCURATO:PERSONA], sia ammissibile solo a condizione che, alla luce degli obiettivi perseguiti di dissuasione e di evitare l'elusione delle norme antidoping, esso resti proporzionato, in particolare in termini di portata e di durata della pubblicazione, tenuto conto delle circostanze specifiche di cui trattasi, ciò che spetta al giudice del rinvio verificare. 2. Sul momento del la ponderazione 170. Il giudice del rinvio chiede se il RGPD esiga, prima della pubblicazione, una ponderazione caso per caso degli interessi in gioco da parte del titolare del trattamento o se il controllo di proporzionalità previsto dal legislatore sia sufficiente. 171. Nel caso di specie, il legislatore ha preso in considerazione situazioni predefinite indipendentemente dalle circostanze proprie di ogni singolo caso, menzionando gli elementi della pubblicazione e fissando tuttavia talune eccezioni. Così facendo, esso ha già disciplinato la pubblicazione e provveduto ad un certo bilanciamento tra l'interesse degli atleti i cui dati personali sono divulgati, da un lato, e gli interessi connessi alla lotta antidoping, dall'altro. 172. Rilevo tuttavia che, in quanto titolari del trattamento designati dal legislatore nazionale, gli organismi nazionali antidoping di cui trattasi (nel caso di specie, la [OSCURATO:PERSONA] e l’ÖADR) restano, in applicazione dell'articolo 5, paragrafo 2, del RGPD, incaricati dell'attuazione del trattamento e responsabili («accountable» ) del rispetto dei principi di liceità e di proporzionalità di detto trattamento, nonché del rispetto del principio di minimizzazione. Essi devono peraltro essere in grado di dimostrare che il paragrafo 1 di detta disposizione è rispettato. 173. Essi devono altresì attuare, ai sensi dell'articolo 24, paragrafo 1, e dell'articolo 25, paragrafo 1, del RGPD, misure tecniche ed organizzative adeguate (come la pseudonimizzazione), sia al momento della determinazione dei mezzi del trattamento sia al momento del trattamento stesso . Tali misure, che devono essere riesaminate e aggiornate se necessario, sono destinate ad attuare efficacemente i principi relativi alla protezione dei dati e a corredare il trattamento delle garanzie necessarie per soddisfare i requisiti del RGPD e tutelare i diritti dell'interessato( 106 ). 174. Rilevo peraltro che, nel caso di specie, anche se il legislatore ha determinato le finalità del trattamento nonché, in parte, i mezzi di tale trattamento, sono la [OSCURATO:PERSONA] e l'ÖADR che, in quanto titolari del trattamento e incaricate della sua attuazione, hanno optato per una pubblicazione via Internet, ove l'ÖADR ha anche optato per una pubblicazione del nome della sostanza vietata eventualmente in questione. 175. In tale contesto, la risposta alla questione sollevata mi sembra legata al contenuto e al grado di precisione della legge nazionale applicabile al titolare del trattamento. Mi sembra che il fatto che il legislatore nazionale abbia previsto il principio di pubblicazione non esoneri il titolare del trattamento dalla sua responsabilità sul piano del rispetto dei requisiti del RGPD e sul piano della protezione dei diritti degli interessati. Ciò può implicare, da parte sua, che, nell'ambito dell'applicazione della normativa nazionale, esso tenga conto delle circostanze specifiche della causa( 107 ) Inoltre, rilevo che tale ponderazione caso per caso gli incombe nel caso di specie per la pubblicazione dei dati relativi agli atleti sospesi che rientrano nelle eccezioni menzionate nell'ADBG. 176. Pertanto, ritengo che le summenzionate disposizioni del RGPD, sebbene non lo richiedano in tutti i casi, possano comportare che il titolare del trattamento effettui una ponderazione caso per caso degli interessi in gioco, in particolare in sede di determinazione dei mezzi del trattamento, quindi anche prima della pubblicazione. A tal riguardo, potrebbero essere presi in considerazione elementi relativi alla natura, alla portata, al contesto e alle finalità del trattamento, nonché ai rischi, il cui grado di probabilità e di gravità può variare, per i diritti e le libertà di dette persone. 177. Né l'argomento secondo cui un siffatto margine di discrezionalità del titolare del trattamento rischia di condurre a una discriminazione tra atleti che si trovano in situazioni comparabili, né il rischio di arbitrarietà, di abuso o anche di corruzione, evocati in particolare dalla Commissione e dalla [OSCURATO:PERSONA], possono giustificare la rinuncia a una siffatta ponderazione caso per caso, destinata a trattare i dati personali in modo conforme al RGPD. Una tale ponderazione può infatti proprio evitare la discriminazione che potrebbe derivare dall'applicazione di un trattamento identico a situazioni diverse. 178. Ne consegue, a mio avviso, che gli articoli 5 e 6 del RGPD, letti alla luce dell’insieme di obblighi e responsabilità incombenti al titolare del trattamento, devono essere interpretati nel senso che non ostano a una ponderazione caso per caso degli interessi in gioco da parte del titolare del trattamento prima di detto trattamento di dati, o anche, in talune circostanze, nel senso che richiedono una siffatta ponderazione ove ciò si renda necessario per trattare i dati personali in modo conforme al RGPD. 3. Conclusione sulle questioni terza e quarta 179. Alla luce di quanto precede, propongo alla Corte di rispondere alla terza questione dichiarando che l'articolo 5, paragrafo 1, lettere a) e c), e l'articolo 6, paragrafo 3, secondo comma, del RGPD devono essere interpretati nel senso che ostano ad un obbligo, imposto agli organismi nazionali antidoping, di pubblicare dati personali, quali il nome degli atleti sanzionati per violazione della regolamentazione antidoping, la durata della sospensione inflitta e i relativi motivi (in particolare il nome della sostanza vietata) qualora, tenuto conto delle circostanze specifiche di cui trattasi, il requisito della proporzionalità non sia o non sia più soddisfatto, in particolare sul piano della portata e della durata della pubblicazione, circostanza che spetta al giudice del rinvio verificare. 180. Per quanto concerne la quarta questione, propongo alla Corte di considerare che gli articoli 5 e 6 del RGPD, letti alla luce di tutti gli obblighi e le responsabilità gravanti sul titolare del trattamento, devono essere interpretati nel senso che impongono che quest'ultimo effettui, prima del trattamento dei dati, una ponderazione caso per caso degli interessi in gioco ove ciò si renda necessario per trattare i dati personali in modo conforme al RGPD. F. [OSCURATO:PERSONA] settima questione 181. Per comprendere la settima questione, occorre ricordare il contesto nel quale essa è posta. La ricorrente [OSCURATO:PERSONA], ancor prima che i suoi dati personali fossero stati pubblicati sui siti Internet della [OSCURATO:PERSONA] e dell'ÖADR, ha presentato un reclamo all'autorità austriaca per la protezione dei dati ai sensi dell'articolo 17 del RGPD, che prevede il diritto alla cancellazione. Quest'ultima autorità ha respinto il reclamo della YT, poiché i dati considerati non erano ancora stati pubblicati. La pubblicazione di detti dati è poi avvenuta nel corso del procedimento di ricorso contro il rigetto del suo reclamo da parte dell'autorità austriaca per la protezione dei dati. 182. Con la settima questione, il giudice del rinvio chiede, in primo luogo, se un reclamo ai sensi dell'articolo 77 del RGPD relativo a un'asserita violazione del diritto alla cancellazione (articolo 17 del RGPD) sia ricevibile quando il trattamento dei dati personali dell'interessato non aveva ancora avuto luogo al momento della presentazione del suo reclamo all'autorità di controllo e al momento in cui quest'ultima ha adottato una decisione. 183. Esso si interroga, in secondo luogo, sulla ricevibilità di un siffatto reclamo a posteriori qualora, al momento della presentazione del reclamo, esistessero già indizi concreti che un trattamento di dati personali da parte del titolare del trattamento era imminente o avrebbe avuto luogo in un prossimo futuro. 1. Il reclamo all'autorità di controllo prima del trattamento dei dati è ricevibile? 184. L’articolo 77, paragrafo 1, del RGPD prevede che l'interessato «che ritenga che il trattamento che lo riguarda violi il presente regolamento» ha il diritto di proporre reclamo a un'autorità di controllo. 185. Conformemente a una giurisprudenza costante della Corte, ai fini dell'interpretazione di tale disposizione, terrò conto non soltanto del suo tenore letterale, ma anche del suo contesto e degli scopi perseguiti dalla normativa di cui essa fa parte( 108 ). 186. In primo luogo, il testo dell'articolo 77 del RGPD non impone un termine per la presentazione di un reclamo relativo a un trattamento di dati personali. Nei casi in cui il trattamento sia stato effettuato e venga successivamente contestato, quanto prima viene presentato il reclamo, tanto più rapidamente potrà essere effettuato il controllo da parte dell'autorità e tanto prima potrà essere garantita la protezione dell'interessato( 109 ). Per contro, il testo dell'articolo 77, paragrafo 1, del RGPD non prevede l'ipotesi in cui il trattamento non abbia ancora avuto luogo. Osservo, a tal proposito, che tale disposizione utilizza il termine «violi» al presente, il che sembra implicare che il trattamento debba già aver avuto luogo, ma che l'ipotesi di un trattamento futuro non è, di per sé, esclusa( 110 ). 187. In secondo luogo, come elementi contestuali, occorre menzionare i compiti e i poteri delle autorità di controllo. A tal riguardo, ai sensi dell'articolo 57, paragrafo 1, lettera f), del RGPD, ogni autorità di controllo è tenuta a trattare i reclami presentati da qualsiasi interessato, a esaminare l'oggetto del reclamo nella misura necessaria e a informare il reclamante dello stato e dell'esito dell'indagine entro un termine ragionevole. L’autorità di controllo deve quindi trattare un siffatto reclamo «con tutta la dovuta diligenza»( 111 ). 188. Inoltre, l'articolo 58, paragrafo 1, del RGPD conferisce a ciascuna autorità di controllo importanti poteri di indagine al fine di trattare i reclami presentati. Quando detta autorità constata, al termine della sua indagine, una violazione delle disposizioni di tale regolamento, essa è tenuta a reagire in modo appropriato al fine di porre rimedio all’inadeguatezza constatata. A tal fine, l'articolo 58, paragrafo 2, del RGPD elenca le diverse misure correttive che l'autorità di controllo può adottare e, a tal proposito, essa dispone di un margine di discrezionalità nella scelta dei mezzi appropriati e necessari( 112 ). Tra i poteri dell'autorità di controllo previsti dall'articolo 58, paragrafo 2, lettera a), del RGPD, essa può « rivolgere avvertimenti » a un titolare del trattamento che le operazioni « previste » « possono » « verosimilmente » violare il RGPD, il che è riconducibile ad un approccio che può essere qualificato come «cautelare» dei diritti dell'interessato( 113 ). 189. Tutti questi requisiti e poteri delle autorità di controllo mirano a rafforzare la procedura di reclamo al fine di renderla un meccanismo idoneo a tutelare in modo efficace i diritti e gli interessi delle persone interessate, ossia «un vero e proprio ricorso amministrativo»( 114 ). 190. Si segnala inoltre, a titolo di elementi contestuali, che, come sottolineato dalla Commissione, il titolare del trattamento deve adempiere determinati obblighi, in particolare informare l'interessato prima di procedere al trattamento( 115 ). 191. Mi sembra quindi che un approccio cautelare o preventivo da parte delle autorità di controllo nell'ambito della gestione dei reclami non possa, a priori , essere escluso nel contesto del RGPD. 192. In terzo luogo, tale interpretazione è confermata dagli obiettivi perseguiti da tale regolamento. Infatti, risulta in particolare dal suo considerando 10 che esso mira a garantire un livello elevato di protezione delle persone fisiche con riguardo al trattamento dei dati personali all'interno dell'Unione. Il considerando 11 del medesimo regolamento enuncia, inoltre, che un’efficace protezione di tali dati presuppone un rafforzamento dei diritti delle persone interessate. 193. Orbene, limitare l'obbligo gravante sulle autorità di controllo di trattare i reclami, di cui all'articolo 57, paragrafo 1, lettera f), del RGPD, interpretando l'articolo 77, paragrafo 1, del medesimo regolamento nel senso che esso esclude qualsiasi possibilità di proporre reclamo a un'autorità di controllo «in vista di un trattamento», potrebbe essere in contrasto con gli obiettivi perseguiti da tale regolamento, in particolare con quello di garantire un livello elevato di protezione delle persone fisiche con riguardo al trattamento dei dati personali all'interno dell'Unione. 194. Ritengo pertanto, alla luce di tutte le suesposte considerazioni, che non si possa escludere che un reclamo effettuato ai sensi dell'articolo 77 del RGPD possa essere ricevibile, sebbene il trattamento di dati personali dell'interessato non abbia ancora avuto luogo al momento della presentazione del suo reclamo all'autorità di controllo. 195. Ritengo tuttavia, al pari della Commissione e del governo austriaco, che l'asserita violazione del RGPD debba a ciò prestarsi e che il trattamento in questione, che, nella presente fattispecie, è la pubblicazione dei dati personali, non abbia carattere puramente ipotetico( 116 ). 196. Nel caso di specie, la Corte è investita di una domanda, fondata sull'articolo 17 del RGPD, riguardante un reclamo ai fini della cancellazione dei dati interessati, visto che la ricorrente di cui trattasi nel procedimento principale (YT) ha precisato al riguardo che la pubblicazione dei suoi dati era «quasi certamente imminente». 197. Orbene, un reclamo diretto alla cancellazione di tali dati (così come, ad esempio, una richiesta di rettifica dei dati) presuppone, per sua natura, che il trattamento in questione, nella fattispecie la pubblicazione dei dati, abbia avuto luogo. Sembra infatti impossibile per il titolare del trattamento dare seguito a un siffatto reclamo e cancellare dati se essi non sono stati ancora divulgati, salvo interpretare detto reclamo come diretto in realtà ad impedire la pubblicazione dei suddetti dati( 117 ) (e non a cancellarli), circostanza che spetta al giudice del rinvio valutare. 198. Aggiungo che un’interpretazione del genere non contrasta con gli obiettivi di garantire un livello elevato di protezione dei dati personali, dal momento che altre disposizioni del RGPD consentono di rispondere alle richieste riguardanti un trattamento futuro. Infatti, come indicato dal governo austriaco, l'articolo 79, paragrafo 1, del RGPD, relativo al diritto a un ricorso giurisdizionale effettivo, implica l'esistenza, nel diritto nazionale, di azioni processuali in caso di minaccia di violazione illecita imminente dei diritti conferiti dal RGPD. Ciò include la possibilità, nel diritto austriaco, di intentare azioni inibitorie preventive prima dell'inizio del trattamento o, se il trattamento è iniziato, la possibilità di chiedere all'autorità austriaca di controllare la limitazione di detto trattamento sulla base dell'articolo 18 del RGPD. 199. Pertanto, ritengo che non si possa escludere che un reclamo effettuato sulla base dell'articolo 77 del RGPD possa essere ricevibile, sebbene il trattamento di dati personali dell'interessato non abbia ancora avuto luogo al momento della presentazione del suo reclamo all'autorità di controllo, ma rivesta un carattere non puramente ipotetico. Tuttavia, nelle circostanze del procedimento principale, il reclamo, fondato sul diritto alla cancellazione di cui all'articolo 17 del RGPD, non è ricevibile in quanto riguarda un trattamento (nella fattispecie la pubblicazione dei dati personali dell'interessato) che, seppure imminente, non esisteva né al momento del deposito del reclamo di tale persona dinanzi all'autorità di controllo, né al momento dell'adozione della decisione di tale autorità di controllo. 2. Il reclamo all'autorità di controllo diventa ricevibile «a posteriori»? 200. Rilevo che tale questione riguarda l'interpretazione dell'articolo 77 del RGPD, relativo al diritto di proporre reclamo all'autorità di controllo. Sembra quindi che il giudice del rinvio chieda se un siffatto reclamo, dichiarato irricevibile, possa divenire a posteriori ricevibile dinanzi all'autorità di controllo qualora il trattamento considerato (nella fattispecie la divulgazione dei dati) intervenga mentre è pendente un ricorso avverso la decisione di tale autorità di controllo dinanzi al giudice d'appello. Mi sembra che, su tale punto, spetti all'ordinamento giuridico interno stabilire se il giudice d'appello possa, o addirittura debba, in una situazione del genere, rinviare la questione all'autorità di controllo per riesame alla luce dei nuovi elementi di fatto, se spetti alla persona interessata riproporre un reclamo o se il giudice d'appello possa esso stesso statuire sulla situazione che gli viene sottoposta alla luce di nuovi elementi di fatto consistenti, nella specie, nella pubblicazione dei dati. A tal riguardo, occorre provvedere affinché siano garantite l’efficace protezione dei diritti sanciti dal RGPD e l'applicazione coerente ed omogenea delle sue disposizioni. 201. Nei limiti in cui, al pari del governo austriaco, occorre intendere la questione del giudice del rinvio come riguardante la ricevibilità di un siffatto reclamo dinanzi al giudice adito in appello, si tratta, in tal caso, di esaminare le conseguenze degli effetti connessi ad un mutamento di fatto, vale a dire il trattamento consistente nella pubblicazione dei dati personali, avvenuto dopo la decisione dell'autorità di controllo e mentre un ricorso giurisdizionale, proposto sulla base dell'articolo 78 del RGPD, è pendente avverso tale decisione, nell'ipotesi in cui esistessero, al momento del reclamo, indizi concreti che un trattamento di dati personali da parte del titolare del trattamento era imminente o avrebbe avuto luogo in un futuro prossimo. 202. Giova ricordare che il legislatore dell'Unione è intervenuto, nell'ambito del RGPD, per offrire diversi mezzi di ricorso alle persone che lamentano una violazione di tale regolamento, fermo restando che ciascuno di tali mezzi di ricorso deve poter essere esercitato «senza pregiudizio» degli altri( 118 ). 203. Pertanto, l’articolo 78, paragrafo 1, del RGPD prevede che, fatto salvo ogni altro ricorso amministrativo o extragiudiziale, ogni persona fisica o giuridica ha il diritto di proporre un ricorso giurisdizionale effettivo avverso una decisione giuridicamente vincolante dell’autorità di controllo che la riguarda. Ne discende che i giudici investiti di un ricorso avverso una decisione di un’autorità di controllo dovrebbero disporre di una competenza anche di merito e, in particolare, di quella a esaminare tutte le questioni di fatto e di diritto relative alla controversia ad essi sottoposta( 119 ). Il sindacato giurisdizionale esercitato in merito ad una decisione sul reclamo adottata da un’autorità di controllo, per essere «effettivo», come richiesto dalla suddetta disposizione, è dunque completo( 120 ). Infine, l’articolo 79, paragrafo 1, del medesimo regolamento garantisce a ciascun interessato il diritto a un ricorso giurisdizionale effettivo «[f]atto salvo ogni altro ricorso amministrativo o extragiudiziale disponibile, compreso il diritto di presentare un reclamo a un’autorità di controllo ai sensi dell’articolo 77». 204. Certamente, è già stato constatato che, mediante l’adozione del RGPD, il legislatore dell’Unione non ha inteso procedere ad un’armonizzazione esaustiva dei mezzi di ricorso disponibili in caso di violazione delle disposizioni del RGPD, previsti dagli articoli da 77 a 79 del suddetto regolamento( 121 ). In particolare, quando un reclamo presso un’autorità di controllo e i ricorsi giurisdizionali sono proposti nell’ambito di uno stesso Stato membro in merito ad un medesimo trattamento di dati personali, il RGPD non prevede disposizioni particolari. 205. Tuttavia, sebbene il legislatore dell'Unione non abbia inteso procedere ad un'armonizzazione esaustiva al riguardo, esso non ha comunque inteso escludere la possibilità evocata dalla questione del giudice del rinvio, vale a dire ammettere la ricevibilità a posteriori di un reclamo presentato in circostanze come quelle in esame nel procedimento principale. 206. In mancanza di una disciplina dell’Unione in materia, spetta a ciascuno Stato membro, in forza del principio di autonomia processuale degli [OSCURATO:PERSONA] membri, stabilire le modalità delle procedure amministrative e giurisdizionali intese a garantire un livello elevato di tutela dei diritti spettanti agli amministrati in forza del diritto dell’Unione. In tale contesto, spetta al giudice nazionale provvedere affinché siano garantiti l'effettività della tutela dei diritti garantiti dal RGPD, l'applicazione coerente ed omogenea delle disposizioni di quest'ultimo regolamento nonché il diritto a un ricorso effettivo dinanzi a un giudice, di cui all'articolo 47 della Carta( 122 ). 207. Pertanto, è sulla base delle disposizioni procedurali nazionali che il giudice del rinvio deve determinare come i mezzi di ricorso previsti dalla normativa nazionale devono essere attuati in ciascun caso. A tal riguardo, esso deve assicurarsi che le modalità concrete di esercizio dei mezzi di ricorso non pregiudichino in modo sproporzionato il diritto a un ricorso effettivo dinanzi a un giudice. Esso deve altresì provvedere affinché siano garantiti l'effettiva tutela dei diritti garantiti dal RGPD e tali modalità rispettino i principi di effettività e di equivalenza( 123 ). 208. In mancanza di precisazioni da parte del giudice del rinvio sulle possibilità offerte dal suo diritto nazionale, occorre quindi, a mio avviso, ritenere che l'articolo 77, paragrafo 1, del RGPD, esaminato alla luce dell'articolo 78, paragrafo 1, del suddetto regolamento, debba essere interpretato nel senso che esso non osta alla ricevibilità di un reclamo precedentemente respinto in quanto irricevibile dall'autorità di controllo, qualora il trattamento dei dati avvenga mentre il ricorso giurisdizionale vertente sugli stessi fatti è pendente dinanzi al giudice. Spetta all'ordinamento giuridico interno disciplinare, nel rispetto dei principi di equivalenza e di effettività, le condizioni di detta ricevibilità, tanto dinanzi all'autorità di controllo quanto dinanzi al giudice, in modo da garantire l'effettiva tutela dei diritti garantiti dal RGPD, l'applicazione coerente ed omogenea delle sue disposizioni nonché il diritto a un ricorso effettivo dinanzi ad un giudice. 3. Conclusione sulla settima questione 209. Alla luce di tutte le considerazioni che precedono, propongo alla Corte di rispondere alla settima questione dichiarando che l'articolo 77 del RGPD deve essere interpretato nel senso che un reclamo fondato sull'articolo 17 del predetto regolamento (asserita violazione del diritto alla cancellazione) non è ricevibile qualora riguardi un trattamento consistente nella pubblicazione dei dati personali della persona interessato che, pur imminente, non esisteva né al momento del reclamo presentato da tale persona all'autorità di controllo, né al momento dell'adozione della decisione di detta autorità, fatta salva tuttavia l'eventuale ricevibilità di un reclamo riguardante un trattamento di dati personali non puramente ipotetico e che si presti a un'azione preventiva o cautelare dell'autorità di controllo. 210. Inoltre, esaminato alla luce dell'articolo 78, paragrafo 1, del RGPD, l'articolo 77 del medesimo regolamento non osta alla ricevibilità di un reclamo precedentemente respinto in quanto irricevibile dall'autorità di controllo, qualora il trattamento dei dati avvenga mentre il ricorso giurisdizionale vertente sugli stessi fatti è pendente dinanzi al giudice. Spetta all'ordinamento giuridico interno disciplinare, nel rispetto dei principi di equivalenza e di effettività, le condizioni di tale ricevibilità, tanto dinanzi all'autorità di controllo quanto dinanzi al giudice, in modo da garantire l'effettiva tutela dei diritti garantiti dal RGPD, l'applicazione coerente ed omogenea delle sue disposizioni nonché il diritto a un ricorso effettivo dinanzi a un giudice. V. Conclusione 211. Alla luce di tutte le suesposte considerazioni, propongo alla Corte di rispondere nei seguenti termini alle questioni pregiudiziali sollevate dal Bundesverwaltungsgericht (Tribunale amministrativo federale, [OSCURATO:PERSONA]): «1)      L’articolo 16, paragrafo 2, prima frase, TFUE e l’articolo 2, paragrafo 2, lettera a), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, devono essere interpretati nel senso che: non si può considerare che i trattamenti dei dati personali consistenti, in applicazione delle norme nazionali antidoping, nella pubblicazione dei nomi degli atleti interessati, della disciplina sportiva praticata, della violazione delle norme antidoping commessa, della sanzione inflitta nonché dell'inizio e della fine di tale sanzione, siano effettuati per «attività che non rientrano nell'ambito di applicazione del diritto dell'Unione», ai sensi dell'articolo 2, paragrafo 2, lettera a), del regolamento 2016/679. 2)      L’articolo 9, paragrafo 1, del regolamento 2016/679, dev’essere interpretato nel senso che: non costituisce un trattamento di un dato relativo alla salute, ai sensi di tale disposizione, il fatto di divulgare il nome dell'atleta interessato, la durata della sua sospensione e i motivi di tale sospensione, a meno che tali motivi non includano il nome della sostanza o delle sostanze vietate la cui presenza è stata rilevata nell'organismo dell’atleta interessato, qualora tale indicazione sia idonea a rivelare, anche indirettamente, informazioni sullo stato di salute, anche futuro, dell’atleta interessato, circostanza che spetta al giudice del rinvio verificare. 3)      L'articolo 5, paragrafo 1, lettere a) e c), e l'articolo 6, paragrafo 3, secondo comma, del regolamento 2016/679, devono essere interpretati nel senso che: ostano ad un obbligo, imposto agli organismi nazionali antidoping, di pubblicare dati personali, quali il nome degli atleti sanzionati per violazione della regolamentazione antidoping, la durata della sospensione inflitta e i relativi motivi (in particolare il nome della sostanza vietata), qualora, tenuto conto delle circostanze specifiche di cui trattasi, il requisito della proporzionalità non sia o non sia più soddisfatto, in particolare sul piano della portata e della durata della pubblicazione, circostanza che spetta al giudice del rinvio verificare. 4)      Gli articoli 5 e 6 del regolamento 2016/679, letti alla luce dell’insieme di obblighi e responsabilità incombenti al titolare del trattamento, devono essere interpretati nel senso che: impongono che quest'ultimo effettui, prima del trattamento dei dati, una ponderazione caso per caso degli interessi in gioco ove ciò si renda necessario per trattare i dati personali in modo conforme al regolamento 2016/679. 5)      L’articolo 10 del regolamento 2016/679, dev’essere interpretato nel senso che: può applicarsi ai trattamenti di dati personali relativi alle condanne o infrazioni previste dalla normativa nazionale antidoping, qualora, indipendentemente dalla qualificazione di tali infrazioni nel diritto interno, le condanne che esse implicano perseguano una finalità repressiva e presentino un grado di severità tale da avere un effetto equivalente a una sanzione penale, circostanza che spetta al giudice del rinvio verificare. 6)      L'articolo 10 del regolamento 2016/679, letto alla luce dell'articolo 79, paragrafo 1, del medesimo regolamento, dev’essere interpretato nel senso che: le attività o decisioni di un'autorità alla quale il controllo del trattamento dei dati personali relativi alle condanne penali e ai reati o alle correlative misure di sicurezza è stato affidato in forza di tale disposizione devono poter essere oggetto di un sindacato giurisdizionale. 7)      L’articolo 77 del regolamento 2016/679, dev’essere interpretato nel senso che: –        un reclamo, fondato sull'articolo 17 del predetto regolamento (asserita violazione del diritto alla cancellazione), non è ricevibile qualora riguardi un trattamento consistente nella pubblicazione dei dati personali della persona interessata che, pur imminente, non esisteva né al momento del reclamo presentato da tale persona all'autorità di controllo, né al momento dell'adozione della decisione di detta autorità, fatta salva tuttavia l'eventuale ricevibilità di un reclamo riguardante un trattamento di dati personali non puramente ipotetico e che si presti a un'azione preventiva o cautelare dell'autorità di controllo; –        esaminato alla luce dell'articolo 78, paragrafo 1, del regolamento 2016/679, non osta alla ricevibilità di un reclamo precedentemente respinto in quanto irricevibile dall'autorità di controllo, qualora il trattamento dei dati avvenga mentre il ricorso giurisdizionale vertente sugli stessi fatti è pendente dinanzi al giudice. Spetta all'ordinamento giuridico interno disciplinare, nel rispetto dei principi di equivalenza e di effettività, le condizioni di tale ricevibilità, tanto dinanzi all'autorità di controllo quanto dinanzi al giudice, in modo da garantire l'effettiva tutela dei diritti garantiti dal regolamento 2016/679, l'applicazione coerente ed omogenea delle sue disposizioni nonché il diritto a un ricorso effettivo dinanzi a un giudice. 1 Lingua originale: il francese. 2 Firmata a Parigi il 19 ottobre 2005 ed entrata in vigore il 1° febbraio 2007. 3 V., sull'interazione dei diversi strati normativi, F. Rigaux, «Les situations juridiques individuelles dans un système de relativité générale – Cours général de droit international privé», Recueil des cours de l’Académie de droit international de [OSCURATO:PERSONA] , tomo 213, 1989, in particolare pagg. 67 e 68. V., più in particolare sulla regolamentazione antidoping, Diakité, A., La mise en œuvre du Code mondial antidopage par les [OSCURATO:PERSONA] , [OSCURATO:PERSONA], [OSCURATO:PERSONA], 2023, punti 127 e segg. 4 V., per esempio, rispettivamente, sentenze del 12 dicembre 1974, Walrave e Koch (36/74, EU:C:1974:140) e del 21 dicembre 2023, [OSCURATO:PERSONA] (C‑333/21, in prosieguo: la «sentenza [OSCURATO:PERSONA]», EU:C:2023:1011). 5 La prima causa [OSCURATO:PERSONA] è stata infatti dichiarata irricevibile con sentenza del 7 maggio 2024, [OSCURATO:PERSONA] e a. (C‑115/22, EU:C:2024:384). V., nondimeno, conclusioni dell’avvocato generale Ćapeta nella stessa causa (C‑115/22, EU:C:2023:676) 6 Regolamento del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1). 7 Sull’adozione di un nuovo codice, prevista nel 2027 (v. sito Internet dell’AMA disponibile all’indirizzo seguente: https://www.wada-ama.org/fr/nos-activites/le-code-mondial-antidopage/revision-du-code), v. raccomandazione 1/2025, adottata l’11 febbraio 2025 dal Comitato europeo per la protezione dei dati (CEPD), pubblicata sul sito del CEPD, disponibile all’indirizzo seguente: https://www.edpb.europa.eu/system/files/2025-08/edpb_recommendations_202501_wada_2027_world_anti-doping_code_fr.pdf. 8 [OSCURATO:PERSONA]115/22 (GU 2022, C 207, pag. 15 e 16). 9 Sentenza [OSCURATO:PERSONA] e a. (C-115/22, EU:C:2024:384). 10 Direttiva del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio (GU 2016, L 119, pag. 89). 11 V. sentenza del 6 novembre 2003, Lindqvist (C-101/01, in prosieguo: la «sentenza Lindqvist», EU:C:2003:596, punti 25 e 26) 12 V., in tal senso, sentenze del 22 giugno 2021, [OSCURATO:PERSONA] (Punti di penalità) (C-439/19, in prosieguo: la «sentenza [OSCURATO:PERSONA]», EU:C:2021:504, punto 62 e giurisprudenza citata); del 20 ottobre 2022, Koalitsia «[OSCURATO:PERSONA] – Obedinenie» (C-306/21, EU:C:2022:813, punto 35), e del 16 gennaio 2024, [OSCURATO:PERSONA] (C-33/22, in prosieguo: la «sentenza [OSCURATO:PERSONA]», EU:C:2024:46, punto 37). 13 V. sentenza [OSCURATO:PERSONA] (punti 66 e 67). V. anche, mutatis mutandis , nel contesto della direttiva  2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche) (GU 2002, L 201, pag. 37), sentenze del 6 ottobre 2020, [OSCURATO:PERSONA] du Net e a. (C‑511/18, C‑512/18 e C‑520/18, EU:C:2020:791, punto 135), e del 5 aprile 2022, Commissioner of [OSCURATO:PERSONA] e a. (C‑140/20, EU:C:2022:258, punto 61), che menzionano «attività tali da destabilizzare gravemente le strutture costituzionali, politiche, economiche o sociali fondamentali di un paese, e in particolare da minacciare direttamente la società, la popolazione o lo Stato in quanto tale, quali in particolare le attività di terrorismo». 14 V. sentenza [OSCURATO:PERSONA] (punto 41) e conclusioni dell’avvocato generale Szpunar in tale causa (C-33/22, EU:C:2023:397, punto 84). 15 V. sentenza del 9 luglio 2020, [OSCURATO:PERSONA] (C-272/19, EU:C:2020:535): si trattava di attività di natura tanto politica quanto amministrativa della commissione delle petizioni del [OSCURATO:PERSONA] (Parlamento del [OSCURATO:PERSONA], [OSCURATO:PERSONA]), che erano di natura politica e specifici a tale [OSCURATO:PERSONA], poiché tale commissione contribuiva indirettamente all’attività parlamentare. 16 V. sentenza [OSCURATO:PERSONA] (punto 51). 17 V. sentenza del 16 luglio 2020, [OSCURATO:PERSONA] e [OSCURATO:PERSONA] (C-311/18, EU:C:2020:559, punto 88). 18 V. sentenza del 30 aprile 2025, Inspektorat kam Visshia sadeben savet (C-313/23, C-316/23 e C-332/23, EU:C:2025:303, punto 104). 19 Come formulato dall'avvocato generale Szpunar nelle sue conclusioni nella causa [OSCURATO:PERSONA] (C-33/22, EU:C:2023:397, paragrafo 68). 20 V. conclusioni dell'avvocato generale Szpunar nelle cause [OSCURATO:PERSONA] (Punti di penalità) (C-439/19, EU:C:2020:1054, paragrafi da 50 a 59), e [OSCURATO:PERSONA] (C-33/22, EU:C:2023:397, paragrafo 78). 21 V. Lenaerts, K., «L’encadrement par le droit de l’[OSCURATO:PERSONA] européenne des compétences des [OSCURATO:PERSONA] membres», in Chemins d'Europe: mélanges en l’honneur de Jean-[OSCURATO:PERSONA], [OSCURATO:PERSONA] , Paris, 2010, pag. 424, punto 7. V., altresì, Caires, N. e Dermine, P., «La determination de l'application du droit de l'[OSCURATO:PERSONA] européenne à une situation particolare», in Le droit de l'[OSCURATO:PERSONA] européenne et le juge belge/Het recht van de [OSCURATO:PERSONA] en de Belgische rechter , [OSCURATO:PERSONA], [OSCURATO:PERSONA], 2015, pagg. da 85 a 114; e Azoulai, L., «La formule des compétences retenues des [OSCURATO:PERSONA] membres devant la Cour de justice de l’[OSCURATO:PERSONA] européenne», in Objectifs et compétences dans l’[OSCURATO:PERSONA] européenne , [OSCURATO:PERSONA], [OSCURATO:PERSONA], 2012, pagg. da 341 a 368, in particolare pag. 343. 22 V., a tal riguardo, sentenze [OSCURATO:PERSONA] (punto 99) e del 21 dicembre 2023, [OSCURATO:PERSONA] (C-680/21, EU:C:2023:1010, punto 67). V. altresì conclusioni presentate dall’avvocato generale Emiliou nella causa RRC Sports (C-209/23, EU:C:2025:362, paragrafi da 22 a 28). 23 V. sentenza [OSCURATO:PERSONA] (punto 99). V., ad esempio, la risoluzione del Consiglio e dei rappresentanti dei governi degli [OSCURATO:PERSONA] membri, riuniti in sede di Consiglio, sul piano di lavoro dell'Unione europea per lo sport (1° luglio 2024 - 31 dicembre 2027) (GU 2024, C 3527, pag. 1). 24 36/74, EU:C:1974:140, punto 4. V., altresì, sentenza del 15 dicembre 1995, Bosman (C-415/93, EU:C:1995:463, punto 73). Per una formulazione aggiornata, v. sentenza del 4 ottobre 2024, FIFA (C-650/22, EU:C:2024:824, punto 75 e giurisprudenza citata). 25 V., mutatis mutandis , sentenze del 20 maggio 2003, [OSCURATO:PERSONA] e a. (C-465/00, C-138/01 e C 139/01, EU:C:2003:294, punto 42), e Lindqvist (punti 40 e segg.). 26 V. sentenza del 18 luglio 2006, Meca-Medina e Majcen/Commissione (C-519/04 P; in prosieguo: la «sentenza Meca-Medina e Majcen/Commissione», EU:C:2006:492, punto 47). Per gli atleti amatori, il diritto dell'Unione può essere applicato anche attraverso la cittadinanza [v. sentenza del 13 giugno 2019, TopFit e Biffi (C‑22/18, EU:C:2019:497)]. 27 Tale nozione, inoltre, non ha necessariamente lo stesso contenuto in tutti gli [OSCURATO:PERSONA] membri, con la conseguenza che, in caso di divergenza di interpretazione, l'ambito di applicazione del RGPD dipenderebbe dal diritto nazionale. 28 V., tuttavia, sulle differenze di natura, di ambito di applicazione e di regimi tra il diritto al rispetto della vita privata e la protezione dei dati personali, Tambou, O. «Chapitre 1. Droit autonome du droit au respect de la vie privée», in Manuel de droit européen de la protection des données à caractère personnel , [OSCURATO:PERSONA], [OSCURATO:PERSONA], 2020 (1. ed.), pagg. 21 e segg. Per quanto riguarda l'articolo 8 della Convenzione europea per la salvaguardia dei diritti dell'uomo e delle libertà fondamentali, firmata a Roma il 4 novembre 1950 (in prosieguo: la «CEDU»), v., in particolare, sentenza del 5 ottobre 1994, X/Commissione (C-404/92 P, EU:C:1994:361, punto 23), e Corte EDU, 25 febbraio 1997, Z c. Finlandia (CE:ECHR:1997:0225JUD002200993, § 95). 29 Si tratta qui, ad esempio, del rischio di discriminazione. Pertanto, uno stato di salute degradato può comportare una discriminazione in termini di accesso all'occupazione, all'assicurazione o al credito. 30 Anche se non sono direttamente in discussione nella presente causa, i dati relativi alla salute in relazione alle applicazioni e ai dispositivi connessi possono contribuire a delineare i contorni della nozione di «dati relativi alla salute». Ad esempio, i «dati relativi al benessere» o le «misurazioni di sé» (per quanto riguarda la frequenza cardiaca, i periodi di sonno, le diete alimentari, le abitudini di consumo contenute nelle mappe dei supermercati, ecc.) sollevano dubbi sulla questione se si tratti o meno di «dati relativi alla salute». Ad esempio, il numero di passi quotidiani non è di per sé un dato sanitario, ma può diventarlo se tale dato grezzo è associato ad altri dati e se ne può trarre una conclusione sullo stato di salute o sul rischio per la salute di una persona (v., a tal riguardo, allegato intitolato «Health data in apps and devices» della lettera del gruppo di lavoro «Articolo 29» alla Commissione, DG Connect sur mHealth, del 5 febbraio 2015, pag. 2, disponibile sotto al seguente indirizzo: https://ec.europa.eu/justice/article-29/documentation/other-document/files/2015/20150205_letter_art29wp_ec_health_data_after_plenary_annex_en.pdf). Inter alia sull’Internet of [OSCURATO:PERSONA] (IoT), v. Casarosa, F., e Gennari, F., «[OSCURATO:PERSONA] in the Internet of [OSCURATO:PERSONA] – Between the [OSCURATO:PERSONA] and the EHDS», [OSCURATO:PERSONA] of [OSCURATO:PERSONA] , [OSCURATO:PERSONA], [OSCURATO:PERSONA], 2025, pag. da 1 a 23; v., anche, Yaşar, B., «I can feel your heartbeat: E-health evidence in criminal investigations», [OSCURATO:PERSONA] through law: How the law does (not) provide an answer to societal challenges, [OSCURATO:PERSONA] , [OSCURATO:PERSONA], 2023 (1. ed.), pagg. da 43 a 68, in particolare pag. 57, punto 4.2.1. 31 V. sentenze del 4 ottobre 2024, [OSCURATO:PERSONA] (Comunicazione di dati al grande pubblico) (C-446/21, EU:C:2024:834, punto 73 e giurisprudenza citata), nonché del 4 ottobre 2024, Lindenapotheke (C-21/23, in prosieguo: la «sentenza Lindenapotheke», EU:C:2024:846, punto 87). 32 V., in tal senso, sentenza Lindenapotheke (punto 92). Nel caso di specie, sarebbero particolarmente pertinenti le deroghe di cui all'articolo 9, paragrafo 2, lettere g) e i), del RGPD, le quali prevedono che il trattamento di dati sensibili sia possibile se è «necessario per motivi di interesse pubblico rilevante» o «per motivi di interesse pubblico nel settore della sanità pubblica», fatta salva la proporzionalità. 33 L’articolo 6 della «Convenzione aggiornata» sulla protezione delle persone rispetto al trattamento di dati di carattere personale (c.d. «Convenzione 108 +») del 18 maggio 2018, utilizza parimenti tale termine e prevede come categorie speciali di dati i dati a carattere personale relativi alla salute». 34 V. sentenze Lindqvist (punto 50) e Lindenapotheke (punto 81). 35 V. sentenze del 1° agosto 2022, Vyriausioji tarnybinės etikos komisija (C-184/20, in prosieguo: la «sentenza Vyriausioji tarnybinės etikos komisija», EU:C:2022:601, punti da 123 a 127) e Lindenapotheke (punto 83). Tale approccio ampio della definizione potrebbe essere voluto alla volontà di «contrastare i possibili effetti delle nuove tecnologie di mega dati ( big data ) che potrebbero ottenere molte conoscenze sulla salute delle persone trattando dati che possono rivelare informazioni sullo stato di salute» (traduzione libera) [v. Verhenneman, G., «Chapter III. – Understanding the Subject of [OSCURATO:PERSONA]», in [OSCURATO:PERSONA], [OSCURATO:PERSONA] and [OSCURATO:PERSONA], [OSCURATO:PERSONA] ia, [OSCURATO:PERSONA], 2021 (1. ed.), pagg. 97 e segg., in particolare pag. 109]. 36 V. Maisnier-Broché, L., «Fasc. 945: Données de santé à caractère personnel – Régime général», JurisClasseur Communication , 2019. 37 V. Herveg, J., e [OSCURATO:PERSONA], J.-M., «Titre 16 – L’impact du Règlement général sur la protection des données dans le secteur de la santé», in Le règlement général sur la protection des données (RGPD/GDPR) , [OSCURATO:PERSONA], [OSCURATO:PERSONA], 2018 (1. ed.), pag. 722. 38 V., per analogia, documento di lavoro sul trattamento dei dati personali relativi alla salute nelle cartelle cliniche elettroniche (gruppo di lavoro «Articolo 29», del 15 febbraio 2007, WP 131, punto II.2), disponibile al seguente indirizzo: https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2007/wp131_en.pdf 39 V. allegato intitolato «Health data in apps and devices» della lettera del gruppo di lavoro «Articolo 29» alla Commissione, DG Connect sur mHealth, del 5 febbraio 2015, pag. 2, disponibile al seguente indirizzo: https://ec.europa.eu/justice/article-29/documentation/other-document/files/2015/20150205_letter_art29wp_ec_health_data_after_plenary_annex_en.pdf. 40 V., in particolare, linee-guida 03/2020 sul trattamento dei dati relativi alla salute a fini di ricerca scientifica nel contesto dell’emergenza legata al COVID-19, adottati dal CEPD il 21 aprile 2020, punto 3.1, disponibile al seguente indirizzo: https://www.edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202003_healthdatascientificresearchcovid19_it.pdf. 41 Schäfke-Zell, W., «Revisiting the definition of health data in the age of digitalized health care», [OSCURATO:PERSONA] , [OSCURATO:PERSONA], [OSCURATO:PERSONA], vol. 12, n. 1, 2022, pagg. da 33 a 43. 42 V. conclusioni dell’avvocato generale Szpunar nella causa Lindenapotheke (C-21/23, EU:C:2024:354, paragrafo 47). 43 V. allegato intitolato «Health data in apps and devices» della lettera del gruppo di lavoro «Articolo 29» alla Commissione, DG Connect sur mHealth, del 5 febbraio 2015, pag. 2, disponibile al seguente indirizzo: https://ec.europa.eu/justice/article-29/documentation/other-document/files/2015/20150205_letter_art29wp_ec_health_data_after_plenary_annex_en.pdf. V., altresì, sulla questione, Verhenneman, G., «Chapitre III. – Understanding the Subject of [OSCURATO:PERSONA]», in [OSCURATO:PERSONA], [OSCURATO:PERSONA] and [OSCURATO:PERSONA], [OSCURATO:PERSONA] , [OSCURATO:PERSONA], 2021 (1. ed.), pagg. 97 e segg. Si noti che un nesso seppure incerto può essere preso in considerazione [v., Mascret, C., «Arrêt “Lindenapotheke“: vers une protection renforcée des données de santé et une ouverture des voies de recours en matière de protection des données (CJUE, 4 octobre 2024, C-21/23)», [OSCURATO:PERSONA] de droit européen , 2025/1, pag. da 17 a 20]. 44 V. allegato intitolato «Health data in apps and devices» della lettera del gruppo di lavoro «Articolo 29» alla Commissione, DG Connect sur mHealth, del 5 febbraio 2015, pag. 2, disponibile al seguente indirizzo: https://ec.europa.eu/justice/article-29/documentation/other-document/files/2015/20150205_letter_art29wp_ec_health_data_after_plenary_annex_en.pdf. V., anche, sulla distinzione tra le abitudini di consumo e la dipendenza, Borges, G., «[OSCURATO:PERSONA] mit der Brille und die DSGVO – [OSCURATO:PERSONA] des Gesundheitsdatums», Rechtswissenschaft , vol. 14, n. 2, 2023, in particolare pagg. da 172 a 173. 45 V., a tal riguardo, allegato intitolato «Health data in apps and devices» della lettera del gruppo di lavoro «Articolo 29» alla Commissione, DG Connect sur mHealth, del 5 febbraio 2015, pag. 2 e nota a piè di pagina 5, disponibile al seguente indirizzo: https://ec.europa.eu/justice/article-29/documentation/other-document/files/2015/20150205_letter_art29wp_ec_health_data_after_plenary_annex_en.pdf. Del pari, le abitudini di acquisto al supermercato non sono di per sé dati sanitari, ma possono diventarlo se associate ed analizzate per monitorare disturbi come l'obesità o il diabete. 46 La disposizione secondo cui la divulgazione avviene «senza che sia possibile risalire ai dati relativi alla salute dell'interessato» non può essere sufficiente a escludere la rilevanza della questione sollevata in questa sede. Infatti, mi sembra che tale osservazione si riferisca ai casi in cui viene concessa un'autorizzazione a fini terapeutici (che consentono, a determinate condizioni, ad un atleta affetto da una patologia di utilizzare una sostanza o un metodo proibiti, senza che tale informazione venga resa pubblica e senza che vi sia violazione) o ai dettagli dei risultati dei test, che non sono in discussione nella presente causa. 47 L’elenco di tali categorie di infrazioni, numerate da 2.1 a 2.11, compare in particolare sul sito della [OSCURATO:PERSONA] e nel CMA. In sintesi, le infrazioni rientranti nella categorie 2.1 corrispondono alla presenza di una sostanza proibita o dei suoi metaboliti o markers nel campione biologico di un atleta; 2.2 all’uso o tentato uso da parte di un atleta di una sostanza o di un metodo proibiti; 2.3 all’elusione, rifiuto o mancata presentazione da parte dell’atleta a sottoporsi al prelievo del campione biologico; 2.4 al mancato adempimento dei Whereabouts da parte di un atleta; 2.5 alla manomissione o tentata manomissione di qualsiasi parte del controllo antidoping da parte di un atleta o di altra persona; 2.6 al possesso di una sostanza o di un metodo proibiti da parte di un atleta o di persona di supporto dell’atleta; 2.7 al traffico illegale o tentato traffico illegale, da parte di un atleta o altra persona di sostanze o metodi proibiti 2.8 alla somministrazione o tentata somministrazione da parte di un atleta o di altra persona a qualsiasi atleta durante le competizioni, di una qualsiasi sostanza vietata o metodo proibito, oppure somministrazione o tentata somministrazione ad un atleta, fuori competizione, di una sostanza o di un metodo che siano proibiti fuori competizione; 2.9 alla complicità o tentata complicità da parte di un atleta o altra Persona; 2.10 al divieto di associazione da parte di un atleta o altra persona e 2.11 ad atti di un atleta o di altra persona per scoraggiare o contrastare la segnalazione alle autorità o azioni di ritorsione rispetto a dette segnalazioni. 48 L’articolo 6.1 del CMA prevede il ricorso a laboratori accreditati o approvati. 49 V. paragrafo 63 delle presenti conclusioni. 50 Oltre all'articolo 165 TFUE e a numerosi testi internazionali, v. Corte EDU, 18 gennaio 2018, [OSCURATO:PERSONA] des Associations et Syndicats de atleateurs (FNASS) e altri c. Francia (CE:ECHR:2018:0118JUD004815111, § 165), e sentenza Meca-Medina e Majcen/Commissione (punto 43). 51 V., a tal riguardo, articolo 4.3 del CMA relativo ai criteri di inclusione delle sostanze e dei metodi nell'elenco dei divieti, che riguardano in particolare la prova medica o scientifica che dimostra che «l'uso della sostanza o del metodo è un rischio reale o potenziale per la salute dello sportivo». V. anche, a titolo di esempio, gli effetti sulla salute delle sostanze vietate nella pratica sportiva elencate nel «Vidal», strumento di informazione sui prodotti sanitari la cui banca dati è approvata dall'[OSCURATO:PERSONA] de Santé (HAS) ([OSCURATO:PERSONA] sanitaria) francese («Les substances interdites dans la pratique sportive», VIDAL, disponibile al seguente indirizzo: https://www.vidal.fr/sante/sport/sport-medicaments/sport-dopage-substances-interdites/tous-sports.html). 52 V. sentenze [OSCURATO:PERSONA] (punto 100), e del 7 marzo 2024, [OSCURATO:PERSONA] (C-740/22, EU:C:2024:216, punto 49). V., per analogia, in vigenza dell'articolo 8, paragrafo 5, della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU 1995, L 281, pag. 31), sentenza del 24 settembre 2019, GC e a. (Deindicizzazione di dati sensibili) (C-136/17, EU:C:2019:773). 53 V. sentenza [OSCURATO:PERSONA] (punti da 77 a 79), che segue in questo le conclusioni dell'avvocato generale Szpunar nella causa [OSCURATO:PERSONA] (Punti di penalità) (C-439/19, EU:C:2020:1054, paragrafi da 74 a 78). 54 Si ricordi che il trattamento di dati personali a tali fini da parte delle « autorità competenti » ai sensi della direttiva 2016/680 rientra nell'ambito di applicazione di tale direttiva in quanto lex specialis (v. paragrafo 34 delle presenti conclusioni) e non del RGPD in quanto lex generalis . Tuttavia, quando il trattamento è effettuato da organismi privati (o da autorità competenti, ma per finalità diverse da quelle indicate nella direttiva 2016/680), è possibile applicare il RGPD e, in particolare, il suo articolo 10. 55 V. considerando 19 del RGPD. 56 Criteri così denominati in riferimento alla sentenza in cui sono stati enunciati per la prima volta dalla Corte europea dei diritti dell’uomo: Corte EDU, 8 giugno 1976, Engel c. [OSCURATO:PERSONA] (CE:ECHR:1976:0608JUD000510071, § 82). Tali criteri sono stati adottati dalla Corte in particolare nella sentenza del 5 giugno 2012, Bonda (C- 489/10, EU:C:2012:319, punti 37 e segg.). V., altresì, sentenza [OSCURATO:PERSONA] (punti 85 e 87 nonché giurisprudenza citata). 57 V. sentenze del 20 marzo 2018, Menci (C-524/15, EU:C:2018:197, punto 27), e del 14 settembre 2023, [OSCURATO:PERSONA] e [OSCURATO:PERSONA] (C-27/22, EU:C:2023:663, punto 46). 58 Con l'adesione ad organizzazioni sportive e la partecipazione a manifestazioni e competizioni sportive, gli atleti professionisti si impegnano (contrattualmente o prestando il proprio consenso) a non ricorrere a pratiche dopanti. 59 V. sentenza [OSCURATO:PERSONA] (punto 88 e giurisprudenza citata). 60 Oltre alle federazioni sportive internazionali e nazionali, si citano in particolare gli organismi competenti designati a livello nazionale, tra cui le «organizzazioni nazionali antidoping» (in prosieguo: gli «ONAD»), che sono gli enti designati da ciascun paese come autorità principali responsabili dei programmi antidoping a livello nazionale, elencati sul sito dell'AMA (v. Programma degli ONAD, disponibile al seguente indirizzo: https://www.wada-ama.org/fr/programme-des-onad) 61 V. Direzione generale dell'Istruzione, della gioventù, dello sport e della cultura (Commissione europea), van der Sloot, B., Paun, M., Leenes, R., e al., [OSCURATO:PERSONA]-doping & [OSCURATO:PERSONA]: An evaluation of the anti-doping laws and practices in the EU [OSCURATO:PERSONA] in light of the [OSCURATO:PERSONA] , [OSCURATO:PERSONA] des publications de l’[OSCURATO:PERSONA] européenne, 2017, in particolare pag. 58, disponibile al seguente indirizzo: https://data.europa.eu/doi/10.2766/042641. 62 V. sentenze del 20 marzo 2018, [OSCURATO:PERSONA] e a. (C-537/16, EU:C:2018:193, punto 33); [OSCURATO:PERSONA] (punto 89); del 23 marzo 2023, [OSCURATO:PERSONA] (C-412/21, EU:C:2023:234, punto 30); del 4 maggio 2023, MV – 98 (C-97/21, EU:C:2023:371, punto 42), e del 14 settembre 2023, Vinal (C-820/21, EU:C:2023:667, punto 50). 63 V. Diakité, A., «Chapitre 2. La mise en œuvre des sanctions applicables aux athlètes à l’épreuve du respect des droits fondamentaux», in La mise en œuvre du Code mondial antidopage par les [OSCURATO:PERSONA] , [OSCURATO:PERSONA], [OSCURATO:PERSONA], 2023, 1. ed., punto 1145, e Rouiller, C., «Avis de droit sur la compatibilité de l’article 10.2 du Code mondial antidopage avec les principes fondamentaux du droit national suisse», del 25 ottobre 2005, pag. 20 e segg.. (disponibile al seguente indirizzo: https://www.wada-ama.org/sites/default/files/resources/files/Compatibilit%C3%A9_droit_suisse_Document_entier.pdf). 64 V., in tal senso, giurisprudenza della Corte EDU, che tiene conto dell'obiettivo (repressivo o risarcitorio) della sanzione prevista [Corte EDU, 23 novembre 2006, Jussila c. Finlandia (CE:ECHR:2006:1123JUD007305301, § 38)]. 65 V., in tal senso, Diakité, A., « Chapitre 2. La mise en œuvre des sanctions applicables aux athlètes à l’épreuve du respect des droits fondamentaux », in La mise en œuvre du Code mondial antidopage par les [OSCURATO:PERSONA], [OSCURATO:PERSONA] , [OSCURATO:PERSONA], 2023 (1. ed.), pagg. 501 e segg., in particolare punto 1143. 66 Per una sintesi della giurisprudenza in materia, v. Corte EDU, 6 novembre 2018, [OSCURATO:PERSONA] de Carvalho e Sá c. Portogalla (CE:ECHR:2018:1106JUD005539113, § 123), e 5 marzo 2020, Peleki c. Grecia (CE:ECHR:2020:0305JUD006929112, § 35). V., altresì, a tal riguardo, parere sul Codice mondiale antidoping (progetto di codice 2021) del 13 ottobre 2019 dell’ex presidente della Corte EDU, Costa, J.-P., in particolare pag. 5 e segg., disponibile al seguente indirizzo: https://www.wada-ama.org/sites/default/files/resources/files/avis_2019_code_mondial_13_octobre.pd. 67 Le violazioni della disciplina militare in questione nella causa Engel, che comportavano l'assegnazione a un'unità disciplinare per un periodo di diversi mesi, sono state considerate rientranti nell'aspetto penale dell'articolo 6 della CEDU. [Corte EDU, 8 giugno 1976, Engel e altri c. [OSCURATO:PERSONA] (CE:ECHR:1976:0608JUD000510071, § 85)]. 68 Per l'applicazione dell'articolo 6 della CEDU nel suo aspetto civile ai procedimenti disciplinari dinanzi a organi corporativi e nei quali è direttamente in gioco il diritto all'esercizio di una professione, v. Corte EDU, 22 luglio 2021, Reczkowicz c. Polonia (CE:ECHR:2021:0722JUD004344719, §§ da 183 a 185 e giurisprudenza citata), riguardante giudici e avvocati; Corte EDU, 23 giugno 1981, [OSCURATO:PERSONA], [OSCURATO:PERSONA] e [OSCURATO:PERSONA] c. Belgio (CE:ECHR:1981:0623JUD000687875, §§ da 41 a 51), riguardante medici; Corte EDU, 27 giugno 1997, Philis c. Grecia (n. 2) (CE:ECHR:1997:0627JUD001977392, § 45), riguardante un ingegnere, e Corte EDU, 5 marzo 2020, Peleki c. Grecia (CE:ECHR:2020:0305JUD006929112, § 39), riguardante un notaio. 69 V. Corte EDU, 2 ottobre 2018, Mutu e Pechstein c. Svizzera (CE:ECHR:2018:1002JUD004057510); Corte EDU, 3 settembre 2019, Bakker c. Svizzera (CE:ECHR:2019:0903DEC000719807); Corte EDU, 28 gennaio 2020, Ali Rıza e altri c. Turchia (CE:ECHR:2020:0128JUD003022610, §§ 153-161); Corte EDU, 18 maggio 2021, Sedat Doğan c. Turchia (CE:ECHR:2021:0518JUD004890914, § 20), e Corte EDU, 18 maggio 2021, Naki e AMED [OSCURATO:PERSONA] Derneği c. Turchia (CE:ECHR:2021:0518JUD004892416, § 20). V. anche, molto recentemente, Corte EDU, 10 luglio 2025, Semenya c. Svizzera, (CE:ECHR:2025:0710JUD001093421, in particolare § 161). 70 V. Corte EDU, 10 febbraio 1983, Albert e [OSCURATO:PERSONA] c. Belgio (CE:ECHR:1983:0210JUD000729975, § 30 e giurisprudenza citata); Corte EDU, 6 novembre 2018, [OSCURATO:PERSONA] de Carvalho e Sá c. Portogallo (CE:ECHR:2018:1106JUD005539113, § 121), e Corte EDU, 1° giugno 2023, Grosam c. Repubblica ceca (CE:ECHR:2023:0601JUD001975013, § 112). 71 V. Corte EDU, 22 dicembre 2020, [OSCURATO:PERSONA] e [OSCURATO:PERSONA] c. Islanda (CE:ECHR:2020:1222JUD006827314, § 93). 72 All’opposto, il fatto che una norma che sanziona una determinata violazione sia rivolta a tutti i cittadini depone a favore del carattere penale della sanzione [v. Corte EDU, 21 febbraio 1984, Öztürk c. [OSCURATO:PERSONA] (CE:ECHR:1984:0221JUD000854479, § 53)]. 73 V. Corte EDU, 6 novembre 2018, [OSCURATO:PERSONA] de Carvalho e Sá c. Portogallo (CE:ECHR:2018:1106JUD005539113, § 125). 74 Essa si distingue inoltre dai fatti oggetto della sentenza del 20 marzo 2018, [OSCURATO:PERSONA] e a. (C-537/16, EU:C:2018:193), in cui la sanzione amministrativa pecuniaria per condotta illecita costituente manipolazione del mercato era basata su un testo legislativo di portata generale. 75 V. paragrafo 100 delle presenti conclusioni. 76 Tribunale Arbitrale dello Sport, 9 agosto 1999, n. 98/222, B. c. [OSCURATO:PERSONA] (ITU) (punto 43), disponibile all'indirizzo: https://jurisprudence.tas-cas.org/Shared%20Documents/222.pdf. V. anche, in tal senso, Soek, J., The strict liability principle and the human rights of the athletes in doping cases , T.M.C. [OSCURATO:PERSONA], L'Aia, 2006, in particolare pag. 272, secondo cui, sebbene il diritto disciplinare antidoping applicato dalle federazioni ed organizzazioni sportive non sia di per sé diritto penale, esso può in alcuni casi essere qualificato come «sistema punitivo» nell'ambito del quale possono applicarsi i principi del diritto penale. 77 V. Corte EDU, 5 marzo 2020, Peleki c. Grecia (CE:ECHR:2020:0305JUD006929112, § 36 e giurisprudenza citata). 78 V. sentenza del 4 maggio 2023, MV – 98 (C-97/21, EU:C:2023:371, punto 46), e Corte EDU, 9 ottobre 2003, Ezeh e Connors c. [OSCURATO:PERSONA] (CE:ECHR:2003:1009JUD003966598, § 120). 79 Per quanto riguarda il sistema sanzionatorio, v. articolo 10 del CMA. V. anche Soek, J., The strict liability principle and the human rights of the athletes in doping cases , T.M.C. [OSCURATO:PERSONA], L'Aia, 2006, in particolare pagg. 195 e segg 80 V. Corte EDU, 22 dicembre 2020, [OSCURATO:PERSONA] e [OSCURATO:PERSONA] c. Islanda (CE:ECHR:2020:1222JUD006827314, § 78), in merito alla condotta colpevole da parte di professionisti del diritto durante un'udienza. 81 Nel caso di specie, l'autorità di controllo ai sensi di tale disposizione è l'autorità austriaca per la protezione dei dati. 82 Per un caso in cui si pone la questione se il diritto nazionale sulle condizioni di accesso al casellario giudiziale fornisca o meno garanzie sufficienti, v. la causa Commissione/Ungheria (Valori dell'Unione) (C-769/22, 2023/C 54/19) (GU 2023 C 54, pag. 16), pendente al momento della stesura delle presenti conclusioni, e le conclusioni dell'avvocato generale Ćapeta del 5 giugno 2025 in tale causa (EU:C:2025:408, in particolare paragrafi da 356 a 359). 83 V. paragrafi da 132 a 180 delle presenti conclusioni. 84 V. sentenza [OSCURATO:PERSONA] (punti 74 e 75). 85 V. articolo 5, paragrafo 6, punto 4, de l’ADBG. 86 V. sentenza Vyriausioji tarnybinės etikos komisija (punto 70 e giurisprudenza citata). 87 La [OSCURATO:PERSONA] e l'ÖADR sono tenute a pubblicare le informazioni in questione ai sensi, rispettivamente, dell'articolo 5, paragrafo 6, punto 4, e dell'articolo 21, paragrafo 3, dell'ADBG. 88 Tale punto non è in discussione in questa sede e l'esistenza di un compito di interesse pubblico mi sembra difficilmente contestabile, tenuto conto dell'interesse generale perseguito dalla normativa antidoping [v. sentenza Meca-Medina e Majcen/Commissione (punto 43)] 89 La stessa operazione di trattamento può soddisfare più motivi legittimi di trattamento [v. sentenza del 3 aprile 2025, Ministerstvo zdravotnictví (Dati relativi al rappresentante di una persona giuridica) (C-710/23, EU:C:2025:231, punto 42)], e uno di questi motivi legittimi è sufficiente [v. sentenze Vyriausioji tarnybinės etikos komisija (punto 71), e del 12 settembre 2024, HTB [OSCURATO:PERSONA] e [OSCURATO:PERSONA] IV (C-17/22 e C-18/22, EU:C:2024:738, punto 38) 90 V. sentenza [OSCURATO:PERSONA] (punto 98 e giurisprudenza citata). 91 Questi due obiettivi corrispondono d’altronde a quelli menzionati dall'AMA nelle sue discussioni con il gruppo di lavoro «Articolo 29» e che sono stati ripresi nel contesto del secondo parere 4/2009, adottato il 6 febbraio 2009, sullo standard internazionale per la protezione delle informazioni personali dell’[AMA], sulle disposizioni del codice dell’AMA ad esso relative e su altre questioni relative alla vita privata nel contesto della lotta contro il doping nello sport da parte dell'AMA e delle organizzazioni antidoping (nazionali) (punto 3.6 sulle sanzioni) (in prosieguo: il «parere 4/2009»). 92 Ai sensi dell'articolo 1, paragrafo 2, punto 8, dell'ADBG, può costituire una violazione antidoping il fatto che un atleta abbia un contatto con una persona di supporto oggetto di un divieto o di una sanzione 93 V., in tal senso, sentenza [OSCURATO:PERSONA] (punti 109 e 110). 94 V., a tal riguardo, sentenza del 22 novembre 2022, [OSCURATO:PERSONA] (C-37/20 e C-601/20, EU:C:2022:912, punto 42). 95 V., anche, a tal proposito, le riserve del gruppo di lavoro «Articolo 29» formulate nel parere 4/2009 al punto 3.6.1. È inoltre interessante notare che, mentre l'articolo 14.2.4 del CMA prevedeva, nella sua versione del 2009, che la pubblicazione dovesse essere effettuata almeno pubblicando le informazioni richieste sul sito Internet dell'organizzazione antidoping per almeno un anno, tale obbligo di pubblicazione su Internet è tuttavia scomparso nelle versioni successive del CMA. Aggiungo che, in [OSCURATO:PERSONA], l'organizzazione antidoping provvede ad una pubblicazione su un mezzo stampa interno (v. sito Internet della [OSCURATO:PERSONA] [OSCURATO:PERSONA], disponibile al seguente indirizzo: https://www.nada.de/service/news/newsdetail/veroeffentlichung-von-sanktionsentscheidungen ). 96 Secondo l'articolo 2.10 del CMA e il commento allegato nella nota a piè di pagina 15, sembra che si tratti soprattutto di garantire che gli atleti (e le altre persone) non lavorino con «allenatori, preparatori atletici, medici o altro personale di supporto agli atleti che siano stati sospesi per violazione delle norme antidoping o che siano stati condannati penalmente o sanzionati disciplinarmente in relazione al doping. Questa disposizione vieta inoltre l'associazione con qualsiasi altro atleta che agisca come allenatore o personale di supporto agli atleti durante un periodo di squalifica». 97 Rilevo d’altronde che, secondo il CMA, per configurarsi una violazione del divieto di associazione con una persona sospesa, è l'organizzazione antidoping che deve dimostrare che l'atleta o l'altra persona conosceva lo stato di squalifica del membro del personale di supporto dell'atleta (articolo 2.10.2 del CMA). 98 V. sentenza Vyriausioji tarnybinės etikos komisija (punto 102) che tiene conto del fatto che la divulgazione pubblica online porta a rendere i dati personali di cui trattasi liberamente accessibili su Internet a tutto il pubblico e, di conseguenza, a un numero potenzialmente illimitato di persone. La Corte di Strasburgo prende altresì in considerazione il tipo di supporto utilizzato per la divulgazione dei dati personali e la diffusione su Internet è stata giudicata particolarmente rischiosa al riguardo [Corte EDU, 9 marzo 2023, L.B. c. Ungheria (CE:ECHR:2023:0309JUD003634516, § 121)]. 99 V. parere 4/2009 (punti 3.6.1 e 3.6.2 sulle sanzioni). 100 V., in tal senso, sentenza Vyriausioji tarnybinės etikos komisija (punto 98 e giurisprudenza citata). 101 V. articolo 9, paragrafo 2, lettera g), del RGPD. 102 V. sentenza del 24 settembre 2019, GC e a. (Deindicizzazione di dati sensibili), C-136/17, EU:C:2019:773, punto 73 e [OSCURATO:PERSONA] (punto 104). 103 Il controllo di proporzionalità si effettua tenendo conto in particolare del fatto che il dato è considerato sensibile [v. sentenze dell'11 dicembre 2019, Asociaă ia de Proprietari bloc M5A-ScaraA (C-708/18, EU:C:2019:1064, punto 57), e Vyriausioji tarnybinės etikos komisija (punto 99)]. 104 V. conclusioni dell’avvocato generale [OSCURATO:PERSONA] nelle cause riunite [OSCURATO:PERSONA] e a. (C-293/12 e C-594/12, EU:C:2013:845, paragrafo 149), con riguardo, in un diverso contesto giuridico, alla proporzionalità della durata di conservazione di dati. 105 V., a tal riguardo, Dellaux, J., «La réglementation de la lutte contre le dopage à l’aune de la jurisprudence de la Cour européenne des droits de l’homme, ou quand la pratique sportive justifie des restrictions importantes au droit au respect de la vie privée», Revue trimestrielle des droits de l’homme , Anthémis, n. 116, 2018, in particolare pagg. 899 e 900. 106 V. Delforges, A., «Titre 8 – Les obligations générales du responsable du traitement et la place du sous-traitant», in Le règlement général sur la protection des données (RGPD/GDPR) , [OSCURATO:PERSONA], [OSCURATO:PERSONA], 2018 (1. ed.), pagg. da 371 a 406. 107 V., al riguardo, parere 4/2009 (punto 3.6 sulle sanzioni), che raccomanda, ad esempio, di prendere in considerazione in particolare la gravità della violazione antidoping, il numero di infrazioni constatate, il livello al quale concorre l’atleta e l'eventuale mediatizzazione della causa. 108 V. sentenza del 12 gennaio 2023, [OSCURATO:PERSONA] és [OSCURATO:PERSONA] (C-132/21, in prosieguo: la «sentenza [OSCURATO:PERSONA] és [OSCURATO:PERSONA]», EU:C:2023:2, punto 32), e del 9 gennaio 2025, [OSCURATO:PERSONA] (Richieste eccessive) (C-416/23, EU:C:2025:3, punto 24). 109 V., in tal senso, Spiecker gen. Döhmann, I., e al., [OSCURATO:PERSONA] : [OSCURATO:PERSONA]-by-[OSCURATO:PERSONA], [OSCURATO:PERSONA] – Beck – Hart, 2023, in particolare pagg. da 1010 a 1017. 110 Certamente, come sottolineano i governi austriaco e finlandese, il punto 47 della sentenza Lindenapotheke afferma che «il capo VIII del RGPD disciplina, in particolare, i mezzi di ricorso che permettono di tutelare i diritti dell’interessato qualora i dati personali che lo riguardano siano stati oggetto di un presunto trattamento contrario alle disposizioni del regolamento stesso» (il corsivo è mio). Ciò posto, il termine «in particolare» mi induce a relativizzare tale argomentazione, soprattutto perché la questione del trattamento non ancora effettuato non era in alcun modo in discussione in detta causa. 111 V. sentenza del 7 dicembre 2023, SCHUFA Holding (Esdebitazione) (C-26/22 e C-64/22, in prosieguo: la «sentenza SCHUFA Holding», EU:C:2023:958, punto 56 e giurisprudenza citata). 112 V. sentenza SCHUFA Holding (punto 68 e giurisprudenza citata). 113 V., anche, sentenza del 4 settembre 2025, [OSCURATO:PERSONA] (C-655/23, EU:C:2025:655, punti da 43 a 50), a proposito della possibilità di impedire la reiterazione di un trattamento illecito di dati personali. V., inoltre, domanda di pronuncia pregiudiziale dell'[OSCURATO:PERSONA] ([OSCURATO:PERSONA]) nella causa CRIF (C-40/25), pendente al momento della stesura delle presenti conclusioni, in merito alla possibilità di imporre al titolare del trattamento di astenersi da qualsiasi ulteriore trasmissione illecita di dati personali. 114 V. sentenze SCHUFA Holding (punto 58) e del 26 settembre 2024, [OSCURATO:PERSONA] (Obbligo di agire dell'autorità per la protezione dei dati) (C-768/21, EU:C:2024:785, punto 35). V. anche conclusioni dell'avvocato generale Pikamäe nelle cause riunite SCHUFA Holding (Esdebitazione) (C-26/22 e C-64/22, EU:C:2023:222, paragrafo 40). 115 V., nel contesto analogo della direttiva 2016/680, sentenza del 4 ottobre 2024, [OSCURATO:PERSONA] (Tentativo di accesso a dati personali memorizzati su un telefono cellulare) (C-548/21, EU:C:2024:830, punti da 69 a 77), in cui la Corte ha statuito che un tentativo di trattamento costituisce già un trattamento di dati. 116 V., in tal senso, sentenza dell'11 luglio 2024, [OSCURATO:PERSONA] (Azione rappresentativa) (C-757/22, EU:C:2024:598, punto 44). Un reclamo relativo all'obbligo di informazione ai sensi dell'articolo 12 del RGPD o al diritto di accesso ai sensi dell'articolo 15 di tale regolamento sarebbe, ad esempio, ammissibile prima dell'inizio del trattamento di dati [v., in tal senso, sentenza dell'11 luglio 2024, [OSCURATO:PERSONA] (Azione rappresentativa) (C-757/22, EU:C:2024:598, punto 45)). 117 È ipotizzabile che il reclamante possa, in questo caso, chiedere all'autorità di controllo di rivolgere avvertimenti al titolare del trattamento o di ordinare a quest'ultimo di vietare la pubblicazione dei dati personali invocando, ad esempio, l’illiceità del trattamento. Se questo è illecito, l'interessato potrebbe opporsi a tale trattamento effettuato senza un motivo legittimo imperativo ai sensi dell'articolo 17, paragrafo 1, lettera c), del RGPD. Tuttavia, non sembra che tali ipotesi ricorrano nel caso di specie. 118 V. sentenza [OSCURATO:PERSONA] és [OSCURATO:PERSONA] (punto 34). V. anche le conclusioni dell'avvocato generale Richard de la Tour nella causa D e a. (Coordinamento fra mezzi di ricorso) (C-414/24, EU:C:2025:656, paragrafo 46), concernenti il coordinamento tra reclamo amministrativo e ricorso giurisdizionale. 119 V. sentenza [OSCURATO:PERSONA] és [OSCURATO:PERSONA] (punto 41). 120 V. sentenza SCHUFA Holding (punto 53). 121 V. sentenze [OSCURATO:PERSONA] és [OSCURATO:PERSONA] (punto 37), e Lindenapotheke (punto 60). 122 V. sentenza [OSCURATO:PERSONA] és [OSCURATO:PERSONA] (punti 45 e 57). 123 V. sentenza [OSCURATO:PERSONA] és [OSCURATO:PERSONA] (punti 46, 48 e 51).