C-474/24

Plný text

null ROZSUDEK SOUDNÍHO DVORA (velkého senátu)

14. července 2026(*) „ Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení (EU) 2016/679 – Článek 2 – Věcná působnost – Články 5 a 6 – Zásady týkající se zpracování a zákonnost zpracování – Článek 9 – Pojem ‚údaje o zdravotním stavu‘ – Článek 10 – Pojem ‚osobní údaje týkající se odsouzení v trestních věcech a trestných činů‘ – Boj proti dopingu ve sportu – Zveřejnění jména osoby, která porušila antidopingová pravidla, doby trvání zákazu její účasti na sportovních akcích a důvodů pro uložení tohoto zákazu na internetu – Zvážení zájmů – Přiměřenost – Článek 77 – Právo podat stížnost u dozorového úřadu, pokud takové zveřejnění bezprostředně hrozí“ Ve věci C‑474/24, jejímž předmětem je žádost o rozhodnutí o předběžné otázce podaná na základě článku 267 SFEU rozhodnutím Bundesverwaltungsgericht (Spolkový správní soud, Rakousko) ze dne 28. června 2024, došlým Soudnímu dvoru dne 4. července 2024, v řízení AR, YT, DI, RN za účasti: Österreichische Datenschutzbehörde, Nationale Anti-Doping Agentur Austria GmbH (NADA Austria), Österreichische Anti-Doping Rechtskommission (ÖADR), SOUDNÍ DVŮR (velký senát), ve složení: K. Lenaerts, předseda, T. von Danwitz, místopředseda, C. Lycourgos, I. Jarukaitis, M. L. Arastey Sahún, J. Passer (zpravodaj), M. Condinanzi a F. Schalin, předsedové senátů, E. Regan, N. Piçarra, A. Kumin, N. Jääskinen, B. Smulders, S. Gervasoni a N. Fenger, soudci, generální advokát: D. Spielmann, za soudní kancelář: R. Şereş, radová, s přihlédnutím k písemné části řízení a po jednání konaném dne 13. května 2025, s ohledem na vyjádření, která předložili: –        za AR, YT, DI a RN: J. Öhlböck, Rechtsanwalt, –        za Österreichische Datenschutzbehörde: M. Schmidl a E. Wagner, jako zmocněnci, –        za Nationale Anti-Doping Agentur Austria GmbH (NADA Austria): T. Grünvaldska, A. Schütz, Rechtsanwälte, a K. Van Quathem, advocaat, –        za rakouskou vládu: J. Schmoll a C. Gabauer, jako zmocněnkyně, –        za lotyšskou vládu: J. Davidoviča, K. Pommere a S. Zellis, jako zmocněnci, –        za nizozemskou vládu: M. K. Bulterman a M. H. S. Gijzen, jako zmocněnkyně, –        za polskou vládu: B. Majczyna, jako zmocněnec, –        za finskou vládu: M. Pere, jako zmocněnkyně, –        za Evropskou komisi: A. Bouchagiar, M. Heller a H. Kranenborg, jako zmocněnci, po vyslechnutí stanoviska generálního advokáta na jednání konaném dne 25. září 2025, vydává tento Rozsudek 1        Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 16 odst. 2 první věty SFEU, čl. 5 odst. 1 písm. a) a c), čl. 6 odst. 3 druhého pododstavce a článků 9, 10, 17 a 77 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, a opravy Úř. věst. 2018, L 127, s. 2, a Úř. věst. 2021, L 74, s. 35, dále jen „GDPR“). 2        Tato žádost byla předložena v rámci sporu mezi sportovci AR, YT, DI a RN na jedné straně a Nationale Anti-Doping Agentur Austria GmbH (NADA Austria) a Österreichische Anti-Doping Rechtskommission (ÖADR) [Rakouská antidopingová právní komise (ÖADR)] na straně druhé ohledně toho, že na internetu bylo zveřejněno několik informací souvisejících s tím, že uvedení sportovci porušili rakouskou antidopingovou právní úpravu. Právní rámec WADC 3        Jak vyplývá z Kodaňské deklarace proti dopingu ve sportu ze dne 5. března 2003, základním předpisem v oblasti celosvětového boje proti dopingu ve sportu je Světový antidopingový kodex ve znění platném v roce 2021 (dále jen „WADC“), který sepsala Světová antidopingová agentura. Tento kodex je soukromoprávním předpisem, který se zavázaly respektovat signatářské státy Mezinárodní úmluvy OSN proti dopingu ve sportu, jež byla podepsána dne 19. října 2005 v Paříži a vstoupila v platnost dne 1. února 2007. Tuto deklaraci i tuto úmluvu podepsaly všechny členské státy Evropské unie. 4        V článku 2 odst. 1 až 11 WADC jsou vyjmenovány kategorie porušení antidopingových pravidel. 5        V článku 2 odst. 6 WADC, který se týká držení zakázané látky nebo zakázané metody sportovcem či doprovodným personálem sportovce, ve spojení s čl. 4 odst. 4 WADC, je povoleno používání některých látek na základě terapeutické výjimky. 6        Článek 14 odst. 3 bod 2 WADC ukládá dotčeným antidopingovým organizacím povinnost zveřejnit, „jak byla antidopingová záležitost vyřešena, včetně uvedení sportu, antidopingového pravidla, které bylo porušeno, jména sportovce nebo jiné osoby, která pravidlo porušila, názvu použité zakázané látky nebo zakázané metody (pokud byly použity) a uložených důsledků“. Unijní právo Smlouva o FEU 7        Článek 16 SFEU stanoví: „1.       Každý má právo na ochranu osobních údajů, které se jej týkají.

2. Evropský parlament a Rada [Evropské unie] přijmou řádným legislativním postupem pravidla o ochraně fyzických osob při zpracovávání osobních údajů orgány, institucemi a jinými subjekty Unie a členskými státy, pokud vykonávají činnosti spadající do oblasti působnosti práva Unie, a pravidla o volném pohybu těchto údajů. Dodržování těchto pravidel podléhá kontrole nezávislými orgány. [...]“ 8        Článek 165 SFEU stanoví: „[...]

2. Činnost Unie je zaměřena na: [...] –        rozvoj evropského rozměru sportu podporou spravedlivého a otevřeného sportovního soutěžení a spolupráce mezi subjekty odpovědnými za sport, jakož i ochranou fyzické a mravní integrity sportovců, obzvláště mladých sportovců. [...]

4. Ve snaze přispět k dosažení cílů uvedených v tomto článku: [...] –        Rada na návrh [Evropské k]omise přijímá doporučení.“ GDPR 9        Body 10 až 12, 16, 35, 39, 51 a 112 odůvodnění GDPR zní: „(10)      S cílem zajistit soudržnou a vysokou úroveň ochrany fyzických osob a odstranit překážky bránící pohybu osobních údajů v rámci Unie by měla být úroveň ochrany práv a svobod fyzických osob v souvislosti se zpracováním těchto údajů rovnocenná ve všech členských státech. V celé Unii je třeba zajistit soudržné a jednotné uplatňování pravidel ochrany základních práv a svobod fyzických osob v souvislosti se zpracováním osobních údajů. Pokud jde o zpracování osobních údajů z důvodu splnění právní povinnosti, provádění určitého úkolu ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce, měly by mít členské státy možnost zachovat či zavést vnitrostátní předpisy za účelem dále konkretizovat uplatňování pravidel tohoto nařízení. Ve spojení s obecnými a horizontálními právními předpisy o ochraně údajů provádějícími směrnici [Evropského parlamentu a Rady] 95/46/ES [ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15, s. 355)] existuje v členských státech několik právních předpisů specifických pro určitá odvětví v oblastech, ve kterých je třeba přijmout konkrétnější ustanovení. Toto nařízení rovněž poskytuje členským státům určitý prostor ke stanovení vlastních pravidel, včetně pravidel pro zpracování zvláštních kategorií osobních údajů (‚citlivé osobní údaje‘). V tomto rozsahu nařízení nevylučuje, aby právo členského státu stanovilo okolnosti konkrétních situací, při nichž dochází ke zpracování, včetně přesnějšího určení podmínek, za nichž je zpracování osobních údajů zákonné. (11)      Účinná ochrana osobních údajů v celé Unii vyžaduje nejen posílení a podrobné vymezení práv subjektů údajů a povinností těch, kdo osobní údaje zpracovávají a o jejich zpracování rozhodují, ale také rovnocenné pravomoci pro monitorování a zajišťování souladu s pravidly ochrany osobních údajů a rovnocenné sankce za jejich porušování v členských státech. (12)      Ustanovení čl. 16 odst. 2 [SFEU] zmocňuje Evropský parlament a Radu ke stanovení pravidel o ochraně fyzických osob při zpracování osobních údajů a pravidel o volném pohybu těchto údajů. [...] (16)      Toto nařízení se nevztahuje na otázky ochrany základních práv a svobod nebo volného pohybu osobních údajů v souvislosti s činnostmi, které nespadají do působnosti práva Unie, jako jsou činnosti týkající se národní bezpečnosti. Toto nařízení se rovněž nevztahuje na zpracování osobních údajů členskými státy při výkonu činností v rámci společné zahraniční a bezpečnostní politiky Unie. [...] (35)      Mezi osobní údaje o zdravotním stavu by měly být zahrnuty veškeré údaje související se zdravotním stavem subjektu údajů, které vypovídají o minulém, současném či budoucím tělesném nebo duševním zdraví subjektu údajů. To zahrnuje informace o dané fyzické osobě shromážděné v průběhu registrace pro účely zdravotní péče a jejího poskytování dotčené fyzické osobě podle směrnice Evropského parlamentu a Rady 2011/24/EU [ze dne 9. března 2011 o uplatňování práv pacientů v přeshraniční zdravotní péči (Úř. věst. 2011, L 88, s. 45)], číslo, symbol nebo specifický údaj přiřazený fyzické osobě za účelem její jedinečné identifikace pro zdravotnické účely, informace získané během provádění testů nebo vyšetřování části těla nebo tělesných látek, včetně z genetických údajů a biologických vzorků, a jakékoliv informace například o nemoci, postižení, riziku onemocnění, anamnéze, klinické léčbě nebo fyziologickém či biomedicínském stavu subjektu údajů nezávisle na jejich původu, tedy bez ohledu na to, zda pocházejí například od lékaře nebo jiného zdravotníka, z nemocnice, ze zdravotnického prostředku či diagnostických testů in vitro. [...] (39)      Jakékoliv zpracování osobních údajů by mělo být prováděno zákonným a spravedlivým způsobem. [...] Osobní údaje by měly být přiměřené, relevantní a omezené na to, co je nezbytné z hlediska účelů, pro které jsou zpracovávány. Je nezbytné zejména zajistit, aby byla doba, po kterou jsou osobní údaje uchovávány, omezena na nezbytné minimum. Osobní údaje by měly být zpracovány pouze tehdy, nemůže-li být účelu zpracování přiměřeně dosaženo jinými prostředky. Aby se zajistilo, že osobní údaje nebudou uchovávány déle, než je nezbytné, měl by správce stanovit lhůty pro výmaz nebo pravidelný přezkum. [...] [...] (51)      Osobní údaje, které jsou svou povahou obzvláště citlivé z hlediska základních práv a svobod, zasluhují zvláštní ochranu, jelikož by při jejich zpracování mohla vzniknout závažná rizika pro základní práva a svobody. [...] Tyto osobní údaje by neměly být zpracovávány, pokud není zpracování povoleno ve zvláštních případech stanovených tímto nařízením, a to se zohledněním skutečnosti, že v právu členských států mohou být stanovena zvláštní ustanovení o ochraně údajů s cílem přizpůsobit uplatňování pravidel tohoto nařízení za účelem dodržení zákonné povinnosti nebo splnění úkolu prováděného ve veřejném zájmu či při výkonu veřejné moci, kterým je pověřen správce. Společně se zvláštními požadavky na takové zpracování by se měly uplatňovat obecné zásady a další pravidla tohoto nařízení, zejména pokud jde o podmínky pro zákonné zpracování. Odchylky od obecného zákazu zpracování těchto zvláštních kategorií osobních údajů by měly být výslovně stanoveny mimo jiné v případě, kdy subjekt údajů poskytuje svůj výslovný souhlas nebo jde-li o zvláštní potřeby, zejména pokud je toto zpracování prováděno v průběhu oprávněných činností některých sdružení či nadací, jejichž cílem je umožnit výkon základních svobod. [...] (112)      Tyto výjimky by se měly uplatnit zejména v případech, kdy je předání údajů vyžadováno a je nutné z důležitých důvodů veřejného zájmu, například v případech mezinárodní výměny údajů mezi orgány pro hospodářskou soutěž, daňovými či celními správami, orgány finančního dohledu, útvary příslušnými v oblasti sociálního zabezpečení nebo veřejného zdraví, například v případě vysledování kontaktů v souvislosti s nakažlivými chorobami nebo za účelem omezení nebo odstranění dopingu ve sportu. [...]“ 10      Článek 2 GDPR, nadepsaný „Věcná působnost“, stanoví: „1.      Toto nařízení se vztahuje na zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny.

2. Toto nařízení se nevztahuje na zpracování osobních údajů prováděné: a)      při výkonu činností, které nespadají do oblasti působnosti práva Unie; [...]“ 11      Článek 4 GDPR, nadepsaný „Definice“, stanoví: „Pro účely tohoto nařízení se rozumí: 1)      ‚osobními údaji‘ veškeré informace o identifikované nebo identifikovatelné fyzické osobě (dále jen ‚subjekt údajů‘); identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby; 2)      ‚zpracováním‘ jakákoliv operace nebo soubor operací, které jsou prováděny s osobními údaji nebo soubory osobních údajů pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení; [...] 15)      ‚údaji o zdravotním stavu‘ osobní údaje týkající se tělesného nebo duševního zdraví fyzické osoby, včetně údajů o poskytnutí zdravotních služeb, které vypovídají o jejím zdravotním stavu; [...]“ 12      Článek 5 GDPR, nadepsaný „Zásady zpracování osobních údajů“, zní: „1.      Osobní údaje musí být: a)      ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem (‚zákonnost, korektnost a transparentnost‘); [...] c)      přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány (‚minimalizace údajů‘); [...]“ 13      V článku 6 GDPR, nadepsaném „Zákonnost zpracování“, je uvedeno: „1.      Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu: [...] c)      zpracování je nezbytné pro splnění právní povinnosti, která se na správce vztahuje; [...] e)      zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce; [...]

3. Základ pro zpracování podle odst. 1 písm. c) a e) musí být stanoven: a)      právem Unie nebo b)      právem členského státu, které se na správce vztahuje. Účel zpracování musí vycházet z tohoto právního základu, nebo pokud jde o zpracování uvedené v odst. 1 písm. e), musí být toto zpracování nutné pro splnění úkolu prováděného ve veřejném zájmu či při výkonu veřejné moci, kterým je pověřen správce. Tento právní základ může obsahovat konkrétní ustanovení pro přizpůsobení uplatňování pravidel tohoto nařízení, včetně obecných podmínek, kterými se řídí zákonnost zpracování správcem, typu osobních údajů, které mají být zpracovány, dotčených subjektů údajů, subjektů, kterým lze osobní údaje poskytnout, a účelu tohoto poskytování, účelového omezení, doby uložení a jednotlivých operací zpracování a postupů zpracování, jakož i dalších opatření k zajištění zákonného a spravedlivého [korektního] zpracování, jako jsou opatření pro jiné zvláštní situace, při nichž dochází ke zpracování, než stanoví [jak stanoví] kapitola IX. Právo Unie nebo členského státu musí splňovat cíl veřejného zájmu a musí být přiměřené sledovanému legitimnímu cíli. [...]“ 14      Článek 9 GDPR, nadepsaný „Zpracování zvláštních kategorií osobních údajů“, stanoví: „1.      Zakazuje se zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby.

2. Odstavec 1 se nepoužije, pokud jde o některý z těchto případů: a)      subjekt údajů udělil výslovný souhlas se zpracováním těchto osobních údajů pro jeden nebo více stanovených účelů, s výjimkou případů, kdy právo Unie nebo členského státu stanoví, že zákaz uvedený v odstavci 1 nemůže být subjektem údajů zrušen; [...] g)      zpracování je nezbytné z důvodu významného veřejného zájmu na základě práva Unie nebo členského státu, které je přiměřené sledovanému cíli, dodržuje podstatu práva na ochranu údajů a poskytuje vhodné a konkrétní záruky pro ochranu základních práv a zájmů subjektu údajů; [...] i)      zpracování je nezbytné z důvodů veřejného zájmu v oblasti veřejného zdraví, jako je ochrana před vážnými přeshraničními zdravotními hrozbami nebo zajištění přísných norem kvality a bezpečnosti zdravotní péče a léčivých přípravků nebo zdravotnických prostředků, na základě práva Unie nebo členského státu, které stanoví odpovídající a zvláštní opatření pro zajištění práv a svobod subjektu údajů, zejména služebního tajemství; [...]“ 15      Článek 10 GDPR, nadepsaný „Zpracování osobních údajů týkajících se odsouzení v trestních věcech a trestných činů“, stanoví: „Zpracování osobních údajů týkajících se odsouzení v trestních věcech a trestných činů či souvisejících bezpečnostních opatření na základě čl. 6 odst. 1 se může provádět pouze pod dozorem orgánu veřejné moci, nebo pokud je povoleno právem Unie nebo členského státu poskytujícím vhodné záruky, pokud jde o práva a svobody subjektů údajů. Jakýkoli souhrnný rejstřík trestů může být veden pouze pod dozorem orgánu veřejné moci.“ 16      Článek 17 GDPR, nadepsaný „Právo na výmaz (‚právo být zapomenut‘)“, stanoví: „1.      Subjekt údajů má právo na to, aby správce bez zbytečného odkladu vymazal osobní údaje, které se daného subjektu údajů týkají, a správce má povinnost osobní údaje bez zbytečného odkladu vymazat, pokud je dán jeden z těchto důvodů: [...]

3. Odstavce 1 a 2 se neuplatní, pokud je zpracování nezbytné: [...] b)      pro splnění právní povinnosti, jež vyžaduje zpracování podle práva Unie nebo členského státu, které se na správce vztahuje, nebo pro splnění úkolu provedeného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je správce pověřen; [...]“ 17      Kapitola V GDPR, nadepsaná „Předávání osobních údajů do třetích zemí nebo mezinárodním organizacím“, obsahuje články 44 až 50 tohoto nařízení. 18      Článek 57 GDPR, nadepsaný „Úkoly“, v odstavci 1 stanoví: „Aniž jsou dotčeny další úkoly stanovené tímto nařízením, každý dozorový úřad na svém území: [...] f)      zabývá se stížnostmi, které mu podá subjekt údajů nebo subjekt, organizace či sdružení v souladu s článkem 80, a ve vhodné míře prošetřuje předmět stížnosti a v přiměřené lhůtě informuje stěžovatele o vývoji a výsledku šetření, zejména v případech, kdy je zapotřebí další šetření nebo koordinace s jiným dozorovým úřadem; [...]“ 19      Článek 58 GDPR, nadepsaný „Pravomoci“, v odstavci 1 uvádí vyšetřovací pravomoci, které má každý dozorový úřad, a v odstavci 2 stanoví: „Každý dozorový úřad má všechny tyto nápravné pravomoci: a)      upozornit správce či zpracovatele, že zamýšlené operace zpracování pravděpodobně porušují toto nařízení; [...]“ 20      Článek 77 GDPR, nadepsaný „Právo podat stížnost u dozorového úřadu“, stanoví: „1.      Aniž jsou dotčeny jakékoliv jiné prostředky správní nebo soudní ochrany, má každý subjekt údajů právo podat stížnost u některého dozorového úřadu, zejména v členském státě svého obvyklého bydliště, místa výkonu zaměstnání nebo místa, kde došlo k údajnému porušení, pokud se subjekt údajů domnívá, že zpracováním jeho osobních údajů je porušeno toto nařízení.

2. Dozorový úřad, kterému byla stížnost podána, informuje stěžovatele o pokroku v řešení stížnosti a o jeho výsledku, jakož i o možnosti soudní ochrany podle článku 78.“ 21      Článek 78 GDPR, nadepsaný „Právo na účinnou soudní ochranu vůči dozorovému úřadu“, v odstavci 1 stanoví: „Aniž je dotčena jakákoli jiná správní či mimosoudní ochrana, má každá fyzická nebo právnická osoba právo na účinnou soudní ochranu proti právně závaznému rozhodnutí dozorového úřadu, které se jí týká.“ Rakouské právo 22      Ustanovení § 1 Anti-Doping-Bundesgesetz 2021 (spolkový antidopingový zákon z roku 2021) ze dne 23. prosince 2020 (BGBl. I, 152/2020, dále jen „ADBG“), nadepsaného „Cíle a porušení antidopingových pravidel“, v odstavci 1 stanoví, že „vzhledem k tomu, že doping ovlivňuje sportovní výkonnost, odporuje zásadě férového sportovního soutěžení i skutečným hodnotám, které jsou se sportem od jeho počátků spjaty (sportovní duch), a navíc představuje zdravotní rizika“. 23      Ustanovení § 5 ADBG, nadepsaného „Nezávislý orgán pro provádění dopingových kontrol“, v odstavci 1 stanoví, že k úkolům tohoto orgánu patří mimo jiné předkládat ÖADR návrhy na prošetření podle § 18 ADBG, má-li za to, že ADBG byl porušen, a vystupovat jako účastník řízení před ÖADR i před Unabhängige Schiedskommission (Nezávislá rozhodčí komise, Rakousko) (dále jen „USK“) v souladu s § 20 odst. 2 a § 23 odst. 2 ADBG. 24      Ustanovení § 5 ADBG v odstavcích 5 a 6 stanoví: „(5)      Funkci nezávislého orgánu pro provádění dopingových kontrol vykonává veřejně prospěšná společnost s ručením omezeným s názvem ‚Nationale Anti-Doping Agentur Austria GmbH‘, jejíž zkratka je ‚NADA Austria‘ [(dále jen ‚společnost NADA‘)]. [...] [Společnost NADA] zpracovává osobní údaje jako správce ve smyslu čl. 4 bodu 7 GDPR. (6)      Nezávislý orgán pro provádění dopingových kontrol musí poskytovat Österreichische Bundes-Sportorganisation (BSO) [Rakouská spolková organizace pro sport (BSO), Rakousko], sportovním organizacím, sportovcům, dalším osobám a pořadatelům soutěží nad rámec § 3 následující informace, které zároveň bezplatně zpřístupňuje veřejnosti: 1.      informace o subjektech oprávněných nařizovat antidopingové kontroly; 2.      informace o kritériích pro zařazení do národní testovací skupiny (§ 9); 3.      informace o náhradě nákladů spojených s řízením o antidopingové kontrole; 4.      aniž jsou dotčena ustanovení § 21 odst. 3 a § 23 odst. 14, informace o předběžných opatřeních (např. pozastavení činnosti) a zákazech činnosti sportovců a dalších osob, které byly oznámeny nezávislému orgánu pro provádění dopingových kontrol, a jejich zrušení, s uvedením jména dotčené osoby, doby trvání zákazu a důvodů jeho uložení, bez možnosti dovodit z těchto informací zvláštní kategorie osobních údajů subjektů údajů, zejména údaje o zdravotním stavu. U obzvláště zranitelných osob a rekreačních sportovců lze od poskytnutí těchto informací upustit. V případě rekreačních sportovců se tyto informace zpřístupňují z důvodů veřejného zdraví, pokud bylo zjištěno porušení antidopingových pravidel podle § 1 odst. 2 bodů 3 a 9 až 11. 5.      informace o tom, jaké údaje, a to zejména osobní údaje a zvláštní kategorie osobních údajů, jsou zpracovávány a pro jaké účely jsou zpracovávány v rámci antidopingových opatření nebo řízení o antidopingové kontrole.“ 25      V ustanovení § 6 ADBG, nadepsaného „Ustanovení o ochraně údajů“, je uvedeno: „(1)      Nezávislý orgán pro provádění dopingových kontrol je jakožto správce v souladu s čl. 4 bodem 7 GDPR oprávněn zpracovávat osobní údaje v rozsahu nezbytném pro plnění svých úkolů podle tohoto spolkového zákona a pro účely jeho uplatňování, zejména v souvislosti s úkoly [ÖADR] a [USK]. [...] (2)      Nezávislý orgán pro provádění dopingových kontrol zajistí v souladu s články 32 až 34 GDPR zejména zabezpečení osobních údajů a zvláštních kategorií osobních údajů. Nezbytnost zpracování údajů vyplývá z potřeby účinného provádění antidopingových pravidel [WADC] a ustanovení tohoto spolkového zákona, pokud se subjekty údajů smluvně zavázaly WADC dodržovat. Zvláštní kategorie osobních údajů, zejména údaje o zdravotním stavu, smí být zpracovávány pouze v rozsahu, v němž je to nezbytně nutné podle antidopingových ustanovení tohoto spolkového zákona nebo WADC. [...]“ 26      Ustanovení § 7 ADBG, nadepsaného „[ÖADR]“, v odstavci 1 stanoví: „[ÖADR] je komise nezávislá na vládních orgánech, soukromých osobách a nezávislém orgánu pro provádění dopingových kontrol. Členové ÖADR se nesmí účastnit šetření vedeného proti sportovci a nesmí se podílet na rozhodnutí, zda je třeba proti sportovci nebo jiné osobě podat návrh na provedení kontroly, ani na přezkumu rozhodnutí ÖADR, které podle § 8 provádí [USK]. ÖADR vede disciplinární řízení pro příslušný spolkový sportovní svaz v souladu s platnými antidopingovými pravidly příslušného mezinárodního sportovního svazu (antidopingové řízení).“ 27      Ustanovení § 8 ADBG, nadepsaného „[USK]“, v odstavci 1 stanoví: „[USK] je komise nezávislá na vládních orgánech, soukromých osobách a nezávislém orgánu pro provádění dopingových kontrol. Členové USK se nesmí účastnit šetření vedeného proti sportovci nebo jiné osobě a nesmí se podílet na rozhodnutí, zda je třeba proti sportovci nebo jiné osobě podat návrh na provedení kontroly, ani na rozhodnutí samotné ÖADR, které je jim předloženo k přezkumu. Aniž jsou dotčena ustanovení § 23 odst. 10 bodů 1 a 2, USK se zřizuje při nezávislém orgánu pro provádění dopingových kontrol pro účely přezkumu rozhodnutí ÖADR v antidopingových řízeních.“ 28      Ustanovení § 12 ADBG, nadepsaného „Lékařské výjimky“, upravuje postup vydávání povolení k používání zakázaných látek na základě terapeutické výjimky. 29      Ustanovení § 20 ADBG, nadepsaného „Řízení před [ÖADR]“, v podstatě stanoví, že ÖADR má pravomoc vést antidopingová řízení na základě návrhů na prošetření podaných nezávislým orgánem pro provádění dopingových kontrol a v případě porušení antidopingových pravidel příslušného mezinárodního sportovního svazu přijímat rozhodnutí v prvním stupni. 30      Ustanovení § 21 ADBG, nadepsaného „Další procesní ustanovení“, v odstavci 3 stanoví: „ÖADR musí nejpozději do 20 dnů poté, co rozhodnutí nabude právní moci, informovat BSO, sportovní organizace, sportovce, další osoby a pořadatele soutěží, jakož i veřejnost o uložených předběžných opatřeních (např. pozastavení činnosti) a rozhodnutích vydaných v antidopingových řízeních, a to s uvedením jména dotčené osoby, doby trvání zákazu a důvodů jeho uložení, aniž je umožněno dovodit z těchto informací údaje o zdravotním stavu této osoby. Od poskytnutí těchto informací lze upustit v případě obzvláště zranitelných osob, rekreačních sportovců a osob, které významně přispěly k odhalení potenciálního porušování antidopingových pravidel tím, že poskytly nějaké informace nebo jiné poznatky. V případě rekreačních sportovců se tyto informace zpřístupňují z důvodů veřejného zdraví, pokud bylo zjištěno porušení antidopingových pravidel podle § 1 odst. 2 bodů 3 a 9 až 11.“ 31      Ustanovení § 23 ADBG, nadepsaného „Řízení před [USK]“, v odstavci 14 stanoví: „USK informuje o svých rozhodnutích BSO, sportovní organizace, sportovce, další osoby a pořadatele soutěží, jakož i veřejnost, a to s uvedením jména dotčené osoby, doby trvání zákazu a důvodů jeho uložení, aniž je umožněno z těchto informací dovodit údaje o zdravotním stavu této osoby. Od poskytnutí těchto informací lze upustit v případě obzvláště zranitelných osob, rekreačních sportovců a osob, které významně přispěly k odhalení potenciálního porušování antidopingových pravidel tím, že poskytly nějaké informace nebo jiné poznatky. V případě rekreačních sportovců se tyto informace zpřístupňují z důvodů veřejného zdraví, pokud bylo zjištěno porušení antidopingových pravidel podle § 1 odst. 2 bodů 3 a 9 až 11.“ 32      Ustanovení § 24 ADBG, nadepsaného „Zvláštní povinnosti sportovní organizace“, v odstavci 4 v podstatě stanoví, že sportovní organizace nemohou do své činnosti zapojovat osoby, na které se vztahuje zákaz podle antidopingových pravidel. Spor v původním řízení a předběžné otázky 33      Ve vztahu ke čtyřem sportovcům – AR, YT, DI a RN – byla přijata rozhodnutí o zákazu účasti na soutěžích na dobu určitou nebo doživotně; tato rozhodnutí přijala buď ÖADR na základě antidopingových řízení, která vedla, nebo USK, která je příslušná k přezkumu rozhodnutí ÖADR. 34      Podle rakouských antidopingových právních předpisů platí, že zákazy, o nichž rozhodla ÖADR nebo USK, zveřejňuje společnost NADA ve formě seznamu na svých internetových stránkách. Tento seznam obsahuje jméno a příjmení dotyčného sportovce, provozovanou sportovní disciplínu, porušení antidopingových pravidel, kterého se dopustil, uloženou sankci a její začátek a konec. Tyto údaje zveřejňuje na svých internetových stránkách i ÖADR, a to v rubrice „Tiskové zprávy“. 35      Žalobci v původním řízení požádali v říjnu 2021 ÖADR a společnost NADA, aby z těchto internetových stránek odstranily jejich jména a dotčené sporty. 36      ÖADR a společnost NADA žádostem žalobců v původním řízení nevyhověly, takže tito žalobci podali u Österreichische Datenschutzbehörde (Rakouský úřad pro ochranu údajů) stížnost podle čl. 77 odst. 1 GDPR, kterou se domáhali, aby bylo konstatováno porušení práva na výmaz stanoveného v článku 17 tohoto nařízení a aby byla ÖADR a společnosti NADA uložena povinnost odstranit z uvedených internetových stránek uvedené informace. Tito žalobci tvrdili, že se jedná o zvláštní kategorii osobních údajů ve smyslu článku 9 zmíněného nařízení a o zpracování osobních údajů týkajících se odsouzení v trestních věcech a trestných činů ve smyslu článku 10 tohoto nařízení. Režim paušálního zveřejňování stanovený rakouským právem je podle nich neslučitelný s čl. 6 odst. 3 GDPR a není nezbytný ani přiměřený. 37      Stížnost AR, DI a RN zamítl Rakouský úřad pro ochranu údajů rozhodnutím ze dne 26. listopadu 2021 jako neopodstatněnou. Tento úřad měl zejména za to, že zveřejnění dotčených údajů je nezbytné pro splnění právní povinnosti stanovené v antidopingové právní úpravě, a právo na výmaz je tedy vyloučeno na základě čl. 17 odst. 3 písm. b) GDPR. Pokud jde o stížnost YT, zmíněný úřad ji odmítl pro nedostatek právního zájmu na jejím podání, jelikož údaje YT ještě nebyly zveřejněny. 38      Žalobci v původním řízení podali na základě čl. 78 odst. 1 GDPR proti uvedenému rozhodnutí žalobu u Bundesverwaltungsgericht (Spolkový správní soud, Rakousko), který je předkládajícím soudem. V rámci této žaloby v podstatě zopakovali argumenty, které předložili během správního řízení. YT kromě toho namítla, že jí bylo rozhodnutím ÖADR uloženo opatření spočívající ve čtyřletém pozastavení činnosti, a bezprostředně tedy hrozí, že dojde ke zveřejnění jejích údajů. Společnost NADA zejména tvrdila, že zveřejnění dotčených osobních údajů na jejích internetových stránkách je zákonné, jelikož bylo nezbytné „pro splnění právní povinnosti“, která se na ni vztahuje, a pro „splnění úkolu prováděného ve veřejném zájmu“ ve smyslu čl. 6 odst. 1 prvního pododstavce písm. c) a e) GDPR. Podle čl. 17 odst. 3 písm. b) tohoto nařízení tudíž není povinna tyto údaje ze svých internetových stránek vymazat. 39      Předkládající soud původní řízení přerušil, jelikož USK podala žádost o rozhodnutí o předběžné otázce, a to ve věci, v níž byl vydán rozsudek ze dne 7. května 2024, NADA a další (C‑115/22, EU:C:2024:384). Poté, co byla tato žádost prohlášena za nepřípustnou, bylo ve vnitrostátním řízení před předkládajícím soudem pokračováno. 40      Za těchto podmínek se Bundesverwaltungsgericht (Spolkový správní soud) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky: „1)      Spadá zpracování údajů o osobách, při kterém jsou jejich jméno, provozovaná sportovní disciplína, porušení antidopingových pravidel, jehož se dopustily, [uložená] sankce, jakož i začátek a konec této sankce zveřejněny ve veřejně přístupné části internetových stránek [společnosti NADA] https://www.nada.at/de/recht/suspendierungen-sperren v podobě zápisu v tabulce a ve veřejně přístupných tiskových zprávách [ÖADR] na adrese https://www.oeadr.at, do oblasti působnosti práva Unie ve smyslu čl. 16 odst. 2 první věty SFEU, takže se na takovéto zpracování osobních údajů použije [GDPR]? Je-li odpověď na první otázku kladná: 2)      Jedná se v případě informace, že se určitá osoba dopustila určitého porušení antidopingových pravidel a na základě tohoto porušení má zakázánu účast na (národních i mezinárodních) soutěžích, o ‚údaj o zdravotním stavu‘ ve smyslu článku 9 GDPR? 3)      Brání GDPR – zejména s ohledem na svůj čl. 6 odst. 3 druhý pododstavec – vnitrostátní právní úpravě, která počítá se zveřejněním jména osob dotčených rozhodnutím [ÖADR] nebo [USK], doby trvání zákazu a důvodů jeho uložení, aniž je umožněno z těchto informací dovodit údaje o zdravotním stavu subjektu údajů? Je v této souvislosti relevantní, že podle vnitrostátní právní úpravy lze od zveřejnění těchto informací upustit pouze tehdy, když se jedná o rekreačního sportovce, nezletilou osobu nebo osobu, která významně přispěla k odhalení potenciálních porušení antidopingových pravidel tím, že poskytla nějaké informace nebo jiné poznatky? 4)      Vyžaduje GDPR – zejména s ohledem na zásady uvedené v jeho čl. 5 odst. 1 písm. a) a c) – aby bylo před zveřejněním v každém případě provedeno zvážení osobních zájmů dotyčné osoby, které by mohly být zveřejněním dotčeny, na jedné straně a zájmu veřejnosti na poskytnutí informací o porušení antidopingových pravidel, kterého se sportovec dopustil, na straně druhé? 5)      Jedná se v případě informace, že se určitá osoba dopustila určitého porušení antidopingových pravidel a na základě tohoto porušení má zakázánu účast na (národních i mezinárodních) soutěžích, o zpracování osobních údajů týkajících se odsouzení v trestních věcech a trestných činů ve smyslu článku 10 GDPR? Je-li odpověď na pátou otázku kladná: 6)      Musí činnosti nebo rozhodnutí orgánu, který je podle článku 10 GDPR pověřen dozorem nad zpracováním osobních údajů týkajících se odsouzení v trestních věcech a trestných činů či souvisejících bezpečnostních opatření, podléhat soudnímu přezkumu? 7)      Je přípustná stížnost podle článku 77 GDPR týkající se údajného porušení článku 17 GDPR, pokud v době podání stížnosti u dozorového úřadu a rozhodnutí tohoto úřadu ještě nebyly osobní údaje subjektu údajů zpracovávány, avšak k tomuto zpracování došlo v průběhu řízení před odvolacím soudem, nebo se tato stížnost stane přípustnou dodatečně, pokud v době podání stížnosti existují konkrétní náznaky toho, že správce provede zpracování osobních údajů bezprostředně nebo v blízké budoucnosti?“ K předběžným otázkám K první otázce 41      Podstatou první otázky předkládajícího soudu je, zda musí být čl. 2 odst. 2 písm. a) GDPR ve spojení s čl. 16 odst. 2 první větou SFEU vykládán v tom smyslu, že zpracování osobních údajů spočívající v tom, že jsou na základě vnitrostátních antidopingových pravidel zveřejněna jména sportovců sankcionovaných za porušení těchto pravidel, sportovní disciplína, kterou provozují, porušení uvedených pravidel, jehož se dopustili, sankce, která jim byla uložena, a začátek a konec této sankce, spadá do oblasti působnosti práva Unie, a tedy do působnosti tohoto nařízení. 42      Je nesporné, že tyto informace týkající se osob, jimž byla uložena sankce za porušení vnitrostátních antidopingových pravidel, jsou informacemi o identifikovaných fyzických osobách, takže se jedná o „osobní údaje“ ve smyslu čl. 4 bodu 1 GDPR a jejich zveřejnění na internetových stránkách společnosti NADA a ÖADR, které případy takového porušování zjišťují a postihují sankcemi, představuje „zpracování“ ve smyslu čl. 4 bodu 2 tohoto nařízení. 43      Takové zveřejnění spadá pod velmi širokou definici věcné působnosti GDPR, která je uvedena v jeho čl. 2 odst. 1 [rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 61]. 44      Předkládající soud si nicméně klade otázku, zda je zpracování osobních údajů dotčené ve věci v původním řízení s ohledem na skutečnost, že k němu dochází v rámci boje proti dopingu, z uvedené působnosti vyloučeno, a to na základě výjimky stanovené v tomto čl. 2 odst. 2 písm. a), podle kterého se toto nařízení nevztahuje na zpracování osobních údajů prováděné „při výkonu činností, které nespadají do oblasti působnosti práva Unie“. 45      Touto výjimkou se provádí čl. 16 odst. 2 první věta SFEU, který je právním základem GDPR a ve kterém jsou Parlament a Rada pověřeny, aby přijaly nejen pravidla o ochraně fyzických osob při zpracovávání osobních údajů mimo jiné „členskými státy, pokud vykonávají činnosti spadající do oblasti působnosti práva Unie“, ale i pravidla o volném pohybu těchto údajů. 46      Z judikatury Soudního dvora vyplývá, že výjimka z věcné působnosti GDPR stanovená v čl. 2 odst. 2 písm. a) tohoto nařízení musí být podobně jako ostatní výjimky taxativně vyjmenované v jeho čl. 2 odst. 2 vykládána restriktivně [v tomto smyslu viz rozsudky ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 62 a citovaná judikatura, jakož i ze dne 16. ledna 2024, Österreichische Datenschutzbehörde, C‑33/22, EU:C:2024:46, bod 37]. 47      V tomto kontextu již měl Soudní dvůr příležitost uvést, že jediným cílem čl. 2 odst. 2 písm. a) zmíněného nařízení ve světle bodu 16 jeho odůvodnění je vyloučit z působnosti uvedeného nařízení zpracování osobních údajů prováděné státními orgány v rámci činnosti, která má chránit národní bezpečnost, nebo činnosti, kterou lze zařadit do téže kategorie [rozsudky ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 66, a ze dne 16. ledna 2024, Österreichische Datenschutzbehörde, C‑33/22, EU:C:2024:46, bod 37]. 48      Zveřejňování osobních údajů uvedených v bodě 41 tohoto rozsudku, které společnost NADA a ÖADR provádějí na svých internetových stránkách v rámci činnosti v oblasti boje proti dopingu, ovšem takové zpracování, které by spadalo pod čl. 2 odst. 2 písm. a) GDPR, nepředstavuje. 49      Je tedy třeba konstatovat podobně, jako to učinil generální advokát v bodě 45 svého stanoviska, že výjimka z působnosti GDPR stanovená v čl. 2 odst. 2 písm. a) GDPR se na takové zpracování osobních údajů, jako je zpracování dotčené ve věci v původním řízení, nevztahuje. 50      Jak kromě toho uvedl generální advokát v bodech 46 až 59 svého stanoviska, tento závěr nemůže být zpochybněn argumenty společnosti NADA, které vycházejí jednak z toho, že antidopingová politika spadá na základě rozdělení pravomocí upraveného unijním právem do pravomoci členských států, a to bez ohledu na podpůrnou pravomoc stanovenou v oblasti sportu článkem 165 SFEU, a jednak z toho, že sportovní činnost podle ní nemá hospodářskou povahu. 51      Okolnost, že je zpracování osobních údajů prováděno v rámci činnosti spadající do pravomoci členských států, nevede k tomu, že by toto zpracování bylo vyloučeno z působnosti GDPR na základě jeho čl. 2 odst. 2 písm. a), pokud tato činnost nemá chránit národní bezpečnost a nelze ji zařadit do téže kategorie (v tomto smyslu viz rozsudek ze dne 30. dubna 2025, Inspektorat kam Visšija sadeben savet, C‑313/23, C‑316/23 a C‑332/23, EU:C:2025:303, bod 104). 52      Stejně tak je třeba podotknout, že sportovní činnost v žádném případě nelze na základě údajně nehospodářské povahy zařadit do téže kategorie, jako je ochrana národní bezpečnosti, takže v důsledku této povahy se na činnost dotčenou ve věci v původním řízení nemůže vztahovat výjimka obsažená v tomto ustanovení, a tato činnost tudíž nemůže být vyňata z působnosti GDPR. 53      Tento závěr je ostatně potvrzen bodem 112 odůvodnění GDPR, který výslovně odkazuje na možnou existenci „případ[ů], kdy je předání údajů [do třetích zemí nebo mezinárodním organizacím] vyžadováno a je nutné z důležitých důvodů veřejného zájmu, například [případů] mezinárodní výměny údajů [...] za účelem omezení nebo odstranění dopingu ve sportu“, vyplývající z ustanovení obsažených v kapitole V tohoto nařízení. 54      S ohledem na výše uvedené úvahy je třeba na první otázku odpovědět tak, že čl. 2 odst. 2 písm. a) GDPR ve spojení s čl. 16 odst. 2 první větou SFEU musí být vykládán v tom smyslu, že zpracování osobních údajů spočívající v tom, že jsou na základě vnitrostátních antidopingových pravidel zveřejněna jména sportovců sankcionovaných za porušení těchto pravidel, sportovní disciplína, kterou provozují, porušení uvedených pravidel, jehož se dopustili, sankce, která jim byla uložena, a začátek a konec této sankce, spadá do oblasti působnosti práva Unie, a tedy do působnosti tohoto nařízení. Ke druhé otázce 55      Podstatou druhé otázky předkládajícího soudu je, zda musí být článek 9 GDPR vykládán v tom smyslu, že informace, že se určitá osoba dopustila určitého porušení antidopingových pravidel a na základě tohoto porušení má zakázánu účast na národních i mezinárodních soutěžích, spadá pod pojem „údaje o zdravotním stavu“ ve smyslu tohoto článku 9. 56      V článku 9 GDPR, který se týká, jak je uvedeno v nadpisu, zpracování „zvláštních kategorií“ osobních údajů, je takové zpracování v zásadě zakázáno. Jak je totiž výslovně uvedeno v bodě 51 odůvodnění tohoto nařízení, osobní údaje, které jsou svou povahou obzvláště citlivé z hlediska základních práv a svobod, zasluhují zvláštní ochranu, jelikož by při jejich zpracování mohla vzniknout závažná rizika pro základní práva a svobody. 57      Mezi tyto zvláštní kategorie osobních údajů, které jsou vyjmenovány v čl. 9 odst. 1 GDPR, patří i „údaje o zdravotním stavu“. V souladu s čl. 4 bodem 15 tohoto nařízení ve spojení s bodem 35 jeho odůvodnění se jedná o všechny osobní údaje, které vypovídají o minulém, současném či budoucím tělesném nebo duševním zdravotním stavu fyzické osoby, včetně údajů o poskytnutí zdravotních služeb této osobě (rozsudek ze dne 4. října 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, bod 76). 58      V tomto ohledu již Soudní dvůr rozhodl, že s ohledem na cíl GDPR, kterým je zajistit vysokou úroveň ochrany základních práv a svobod fyzických osob, zejména jejich soukromí, v souvislosti se zpracováním osobních údajů, které se jich týkají, musí být pojem „údaje o zdravotním stavu“ uvedený v čl. 9 odst. 1 tohoto nařízení vykládán široce (rozsudek ze dne 4. října 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, bod 81 a citovaná judikatura). 59      Toto ustanovení zejména nemůže být vykládáno v tom smyslu, že by z režimu zvýšené ochrany stanoveného uvedeným ustanovením bylo vyňato zpracování osobních údajů, které může nepřímo vést k odhalení citlivých informací o fyzické osobě, neboť jinak by byl narušen užitečný účinek tohoto režimu a ochrana základních práv a svobod fyzických osob, kterou má tento režim zajistit (rozsudek ze dne 4. října 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, bod 82 a citovaná judikatura). 60      Proto, aby osobní údaje mohly být kvalifikovány jako „údaje o zdravotním stavu“ ve smyslu čl. 9 odst. 1 GDPR, postačuje, aby umožňovaly odhalit informace o zdravotním stavu subjektu údajů na základě myšlenkového pochodu spočívajícího ve spojení souvislostí nebo dedukci (rozsudek ze dne 4. října 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, bod 83 a citovaná judikatura). 61      V projednávané věci § 5 odst. 6, § 21 odst. 3 a § 23 odst. 14 ADBG stanoví, že se veřejnosti zpřístupňují informace o zákazech a pozastavení činnosti, o nichž rozhodly ÖADR nebo USK, a o jejich zrušení, s uvedením jména dotčených osob, doby trvání zákazu a důvodů jeho uložení, „aniž je umožněno dovodit z těchto informací údaje o jejich zdravotním stavu“. 62      Ze žádosti o rozhodnutí o předběžné otázce však vyplývá, že ÖADR v tiskových zprávách zveřejňovaných na svých internetových stránkách uvádí i název zakázané látky, o kterou se případně jedná. 63      Předkládající soud si v tomto ohledu klade otázku, zda za situace, kdy je v rámci zveřejnění informace o porušení antidopingové právní úpravy uveden název látky, kterou měla dotčená osoba v držení nebo kterou užila ve snaze zlepšit svůj výkon, lze takové údaje považovat za „údaje o zdravotním stavu“ ve smyslu čl. 9 odst. 1 GDPR. 64      Podle judikatury připomenuté v bodech 57 až 60 tohoto rozsudku platí, že údaje týkající se osob, jimž byla uložena sankce za porušení vnitrostátních antidopingových pravidel, lze kvalifikovat jako „údaje o zdravotním stavu“, pokud mohou, byť nepřímo, odhalit informace o minulém, současném či budoucím tělesném nebo duševním zdravotním stavu určité fyzické osoby na základě myšlenkového pochodu spočívajícího ve spojení souvislostí nebo dedukci. 65      K tomu přitom může dojít pouze za situace, kdy je v rámci předmětného zveřejnění uveden název nebo kategorie dotčené zakázané látky nebo metody. Pokud totiž uvedeny nejsou, v zásadě nedochází ke zveřejnění žádné informace, která by umožňovala vytvořit souvislost mezi závěrem o porušení vnitrostátních antidopingových pravidel a informacemi o zdravotním stavu subjektu údajů. 66      Kromě toho je třeba podotknout, že pouhý název zakázané látky přítomné v organismu sportovce, jak jej v rámci své praxe uvádí ÖADR, zpravidla k odhalení informací o zdravotním stavu tohoto sportovce – či dokonce o jeho budoucím zdravotním stavu – nepostačuje. 67      Naproti tomu nelze vyloučit, že v kombinaci s dalšími informacemi může uvedení názvu nebo kategorie dotčené zakázané látky nebo metody přinejmenším nepřímo odhalit na základě myšlenkového pochodu spočívajícího ve spojení souvislostí nebo dedukci informace o zdravotním stavu subjektu údajů, a případně i o jeho budoucím zdravotním stavu. 68      To bude platit zejména v případě, kdy tato osoba užívá určitou látku nebo používá určitou zakázanou metodu kvůli svému specifickému zdravotnímu stavu, avšak nepožádala o povolení k používání na základě terapeutické výjimky v rámci postupu upraveného v § 12 ADBG. 69      Je na předkládajícím soudu, aby s ohledem na všechny okolnosti, kterými se vyznačuje zveřejňování informací, o něž se jedná ve věci v původním řízení, a to zejména zveřejňování, které provádí ÖADR, v jehož rámci se uvádí název dotčené zakázané látky, ověřil, zda zveřejněné informace představují „údaje o zdravotním stavu“ ve smyslu čl. 4 bodu 15 a čl. 9 odst. 1 GDPR ve spojení s bodem 35 odůvodnění tohoto nařízení. 70      Kdyby předkládající soud na základě tohoto ověření dospěl k závěru, že dotčené údaje skutečně představují „údaje o zdravotním stavu“ ve smyslu čl. 9 odst. 1 GDPR, bylo by jejich zveřejňování v zásadě zakázáno, avšak s výhradou výjimek stanovených v tomto čl. 9 odst. 2, které je třeba vykládat restriktivně [v tomto smyslu viz rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, body 68 a 76]. 71      Pokud tedy jsou informace dotčené ve věci v původním řízení „údaji o zdravotním stavu“ ve smyslu čl. 9 odst. 1 GDPR, tento závěr nebrání tomu, aby mohly být zpracovávány, je-li splněna některá z podmínek uvedených v tomto čl. 9 odst. 2, jak vyplývá zejména z bodu 51 odůvodnění tohoto nařízení. 72      Bez výslovného souhlasu žalobců v původním řízení podle uvedeného čl. 9 odst. 2 písm. a) GDPR by mohlo být zveřejnění takových údajů na internetových stránkách ÖADR přípustné zejména na základě tohoto čl. 9 odst. 2 písm. g), kdyby bylo nezbytné z důvodu významného veřejného zájmu na základě práva Unie nebo rakouského práva, které je přiměřené sledovanému cíli, dodržuje podstatu práva na ochranu údajů a poskytuje vhodné a konkrétní záruky pro ochranu základních práv a zájmů subjektu údajů, což musí ověřit předkládající soud. 73      Ze všech výše uvedených úvah vyplývá, že na druhou otázku je třeba odpovědět tak, že článek 9 GDPR musí být vykládán v tom smyslu, že informace, že se určitá osoba dopustila určitého porušení antidopingových pravidel a na základě tohoto porušení má zakázánu účast na národních i mezinárodních soutěžích, v zásadě nespadá pod pojem „údaje o zdravotním stavu“ ve smyslu tohoto článku 9. To ale neplatí, pokud je v rámci takové informace zmíněn název nebo kategorie zakázané látky nebo metody, s níž souvisí uvedené porušení, a tato zmínka v kombinaci s dalšími informacemi o této osobě může, byť nepřímo, odhalit na základě myšlenkového pochodu spočívajícího ve spojení souvislostí nebo dedukci informace o minulém, současném či budoucím tělesném nebo duševním zdravotním stavu uvedené osoby. Ke třetí a čtvrté otázce 74      Podstatou třetí a čtvrté otázky předkládajícího soudu, kterými je třeba se zabývat společně, je, zda musí být čl. 5 odst. 1 písm. a) a c) a čl. 6 odst. 3 druhý pododstavec GDPR vykládány v tom smyslu, že brání vnitrostátní právní úpravě, která vnitrostátním antidopingovým orgánům ukládá povinnost zveřejnit takové osobní údaje týkající se sportovců, jimž byla uložena sankce za porušení antidopingových pravidel, jako jsou jména dotčených sportovců, doba trvání zákazu, který jim byl uložen, a důvody jeho uložení, a to s výjimkou rekreačních sportovců, obzvláště zranitelných osob a „oznamovatelů“. 75      V této souvislosti se předkládající soud táže, zda toto nařízení vyžaduje, aby správce před zveřejněním těchto údajů v každém jednotlivém případě zvážil dotčené zájmy a ověřil přiměřenost takového zveřejnění s ohledem na individuální okolnosti, nebo zda v tomto ohledu postačuje, že vnitrostátní zákonodárce abstraktně vymezil, v jakých situacích může nebo musí být od zveřejnění upuštěno. V souvislosti s posledně uvedeným případem si předkládající soud klade otázku, zda mohou přiměřenost zveřejňování, s nímž počítá tato vnitrostátní právní úprava, zajistit výjimky stanovené ADBG pro situace, kdy se jedná o rekreační sportovce, obzvláště zranitelné osoby nebo „oznamovatele“. 76      V tomto ohledu je třeba připomenout, že každé zpracování osobních údajů musí být v souladu se zásadami týkajícími se zpracování údajů, které jsou uvedeny v článku 5 GDPR, a musí odpovídat některé ze zásad týkajících se zákonnosti zpracování, které jsou vyjmenovány v čl. 6 odst. 1 tohoto nařízení [rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 96]. 77      Pokud jde o zásady týkající se zpracování osobních údajů, předkládající soud poukazuje konkrétně na zásadu uvedenou v tomto čl. 5 odst. 1 písm. a), podle níž musí být osobní údaje ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem, jakož i na zásadu „minimalizace údajů“ uvedenou ve zmíněném čl. 5 odst. 1 písm. c), podle níž musí být tyto údaje přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány, a která vyjadřuje zásadu proporcionality [rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 98]. 78      Pokud jde o zásady týkající se zákonnosti zpracování, čl. 6 odst. 1 GDPR obsahuje taxativní a omezující výčet případů, v nichž lze zpracování osobních údajů považovat za zákonné. Aby tedy mohlo být zpracování považováno za oprávněné, musí spadat pod některý z případů stanovených v tomto čl. 6 odst. 1 [rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 99 a citovaná judikatura]. 79      Jak v tomto ohledu zdůraznil generální advokát v bodě 139 svého stanoviska, zpracování osobních údajů, o které se jedná ve věci v původním řízení, a sice zveřejňování jmen sportovců, jimž byla uložena sankce za porušení antidopingových pravidel, doby trvání zákazu, který jim byl uložen, a důvodů jeho uložení, na internetu, jež provádí společnost NADA a ÖADR, vyplývá z § 5 odst. 6 bodu 4 a § 21 odst. 3 ADBG. Je tudíž třeba konstatovat, že toto zpracování může spadat pod případ uvedený v čl. 6 odst. 1 prvním pododstavci písm. c) GDPR, který stanoví, že zpracování je zákonné, a to v odpovídajícím rozsahu, pokud je „nezbytné pro splnění právní povinnosti, která se na správce vztahuje“. 80      Toto zpracování se navíc provádí za účelem boje proti dopingu, a tedy v rámci plnění úkolu prováděného ve veřejném zájmu, který ostatně odpovídá cílům, jež sleduje činnost Unie na základě čl. 165 odst. 2 poslední odrážky SFEU, a sice cíli spočívajícímu v podpoře spravedlivého sportovního soutěžení a v ochraně fyzické a mravní integrity sportovců. Toto zpracování tedy může spadat i pod první případ uvedený v čl. 6 odst. 1 prvním pododstavci písm. e) GDPR, podle kterého je zpracování zákonné, a to v odpovídajícím rozsahu, pokud je „nezbytné pro splnění úkolu prováděného ve veřejném zájmu“. 81      Pokud jde o zpracování spadající pod případy zákonnosti uvedené v čl. 6 odst. 1 prvním pododstavci písm. c) a e) GDPR, čl. 6 odst. 3 GDPR mimo jiné stanoví, že právo Unie nebo právo členského státu, na jehož základě je toto zpracování prováděno, musí splňovat cíl veřejného zájmu a musí být přiměřené sledovanému legitimnímu cíli. Soudní dvůr uvedl, že požadavky obsažené v posledně uvedeném ustanovení odráží požadavky vyplývající z čl. 52 odst. 1 Listiny základních práv Evropské unie (dále jen „Listina“), a proto musí být vykládány mimo jiné i ve světle posledně uvedeného ustanovení (v tomto smyslu viz rozsudek ze dne 1. srpna 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, bod 69). 82      V této souvislosti je třeba připomenout, že základní práva na respektování soukromého života a na ochranu osobních údajů zakotvená v článcích 7 a 8 Listiny nejsou absolutními výsadami, ale musí být nahlížena v souvislosti se svou funkcí ve společnosti a musí být v rovnováze s ostatními základními právy. Základní práva lze omezit, pokud je omezení v souladu s čl. 52 odst. 1 Listiny stanoveno zákonem a respektuje podstatu těchto práv a zásadu proporcionality. Podle posledně uvedené zásady mohou být omezení zavedena pouze tehdy, když jsou nezbytná a skutečně odpovídají cílům obecného zájmu, které uznává Unie, nebo potřebě ochrany práv a svobod druhého. Musí být činěna v mezích toho, co je nezbytně nutné, a právní úprava, která s sebou přináší dotčený zásah, musí stanovit jasná a přesná pravidla pro rozsah a použití předmětného opatření (rozsudek ze dne 1. srpna 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, bod 70 a citovaná judikatura). 83      Právě s ohledem na všechny tyto skutečnosti je třeba posoudit, zda je taková vnitrostátní právní úprava, jako je právní úprava dotčená ve věci v původním řízení, v souladu s GDPR. 84      Konkrétně je třeba zaprvé ověřit, zda zveřejňování jmen sportovců, jimž byla uložena sankce za porušení antidopingových pravidel, doby trvání zákazu, který jim byl uložen, a důvodů jeho uložení, na internetu, jež provádí společnost NADA a ÖADR a počítá s ním § 5 odst. 6 bod 4 a § 21 odst. 3 ADBG, sleduje cíl obecného zájmu, zadruhé, zda je toto zveřejňování vhodné k dosažení sledovaného cíle obecného zájmu, zatřetí, zda je zásah do základních práv zaručených v článcích 7 a 8 Listiny, který je důsledkem takového zveřejňování, omezen na to, co je nezbytně nutné, a to v tom smyslu, že by tohoto cíle nebylo možné rozumně dosáhnout stejně účinným způsobem jinými prostředky, které méně zasahují do těchto základních práv subjektů údajů, a začtvrté, zda tento zásah není nepřiměřený ve vztahu k uvedenému cíli, což mimo jiné předpokládá poměření významu tohoto cíle a závažnosti uvedeného zásahu (v tomto smyslu viz rozsudek ze dne 22. listopadu 2022, Luxembourg Business Registers, C‑37/20 a C‑601/20, EU:C:2022:912, bod 66). 85      Zaprvé je třeba konstatovat, že právní úprava, jejímž cílem je boj proti dopingu za účelem zachování poctivého, čestného a objektivního průběhu sportovních soutěží, zajištění rovnosti šancí mezi sportovci, ochrany jejich zdraví a dodržování etických hodnot ve sportu, sleduje cíl obecného zájmu (v tomto smyslu viz rozsudek ze dne 18. července 2006, Meca-Medina a Majcen v. Komise, C‑519/04 P, EU:C:2006:492, body 43 až 45). Jak kromě toho bylo uvedeno v bodě 80 tohoto rozsudku, tento cíl je jedním z cílů, které sleduje činnost Unie na základě čl. 165 odst. 2 poslední odrážky SFEU. 86      Zadruhé tohoto cíle obecného zájmu lze nad rámec ukládání sankcí za porušení antidopingových pravidel dosahovat i tím, že se takové osobní údaje, jako jsou údaje dotčené ve věci v původním řízení, zpřístupňují veřejnosti. Takové zpřístupňování totiž může sportovce odrazovat od porušování těchto pravidel a předcházet tak dopingu ve sportu, protože je o porušování pravidel informována veřejnost i osoby, které by mohly dotyčného sportovce sponzorovat. Takové zpřístupňování dále napomáhá tomu, aby nedocházelo k obcházení uvedených pravidel, a tedy k zajištění účinnosti uložených sankcí, pokud jsou totiž o porušování pravidel informováni organizátoři soutěží a potenciální zaměstnavatelé dotyčného sportovce, tento sportovec se soutěží nemůže zúčastnit a musí z nich být vyloučen. 87      Zveřejňování údajů týkajících se porušení antidopingových pravidel je tudíž způsobilé přispět k dosažení sledovaného cíle obecného zájmu, jelikož napomáhá odrazovat od porušování příslušných pravidel a předcházet mu a zároveň přispívá k účinnosti uložených sankcí. 88      Pokud jde zatřetí o nezbytnost dotčené povinnosti zveřejňování, je třeba podotknout, že tato povinnost slouží k umocnění uložených sankcí, které jsou nezbytné k zajištění toho, aby se dodržoval zákaz dopingu (v tomto smyslu viz rozsudek ze dne 18. července 2006, Meca-Medina a Majcen v. Komise, C‑519/04 P, EU:C:2006:492, bod 44). 89      Jak je ovšem připomenuto v bodě 39 odůvodnění GDPR, tento požadavek nezbytnosti není naplněn, pokud lze sledovaného cíle obecného zájmu přiměřeně dosáhnout stejně účinným způsobem jinými prostředky, které by méně zasahovaly do základních práv subjektů údajů, zejména do práva na respektování soukromého života a na ochranu osobních údajů, která jsou zaručena v článcích 7 a 8 Listiny; výjimky ze zásady ochrany takových údajů a její omezení přitom musí být činěny v mezích toho, co je naprosto nezbytné [rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 110]. 90      Nic ovšem nenasvědčuje tomu, že by cíle uvedeného v bodě 85 tohoto rozsudku mohlo být dosaženo stejně účinným způsobem, jakým se jej dosahuje prostřednictvím neanonymizovaného zveřejňování informací dotčených ve věci v původním řízení na internetových stránkách společnosti NADA a ÖADR, jinými opatřeními, která by méně zasahovala do práva na respektování soukromého života a na ochranu osobních údajů subjektů údajů, a to například anonymizovaným zveřejňováním informací o zjištěném porušení antidopingových pravidel a o uložených sankcích nebo tím, že by se uvedené informace zpřístupňovaly pouze osobám, které mají zajistit respektování těchto sankcí, tedy například organizátorům soutěží a sportovním asociacím. 91      Je-li totiž sankce uložená za porušení antidopingových pravidel zveřejněna, lépe se jejím prostřednictvím dosahuje cíle spočívajícího v odrazování od porušování příslušných pravidel a v jeho předcházení, jelikož motivuje ostatní sportovce k tomu, aby neužívali dopingové látky, a samotného sankcionovaného sportovce k tomu, aby je neužíval opětovně. 92      Dále je třeba podotknout, že s ohledem na specifické rysy dopingu v oblasti sportu je ve snaze zabránit obcházení antidopingových pravidel a zajistit účinnost uložených sankcí nezbytné, aby se informace o těchto sankcích zveřejňovaly a aby byla o totožnosti dotyčného sportovce informována veřejnost, jíž se nerozumí pouze osoby, které mají zajistit respektování těchto sankcí, tedy například organizátoři soutěží a sportovní asociace. Je pravda, že má-li být dodržen zákaz účasti na sportovních soutěžích uložený dotyčnému sportovci, je především třeba, aby o tomto zákazu věděli organizátoři uvedených soutěží. V případě profesionálních sportovců ovšem nic nenasvědčuje tomu, že by zveřejňování informace o předmětné sankci mimo určitý omezený okruh osob překračovalo meze toho, co je nezbytné za účelem informování osob, kterých se tato sankce týká nepřímo a jejichž zájmy ovlivňuje a jimiž jsou například stávající nebo potenciální zaměstnavatelé a sponzoři sankcionovaného sportovce. 93      Začtvrté je třeba připomenout, že při sledování dotčeného cíle obecného zájmu nelze ztrácet ze zřetele skutečnost, že tento cíl je třeba uvést do souladu se základními právy dotčenými daným opatřením, a to vyváženým poměřením tohoto cíle obecného zájmu s těmito právy. Při posuzování přiměřenosti zpracování, o které se jedná ve věci v původním řízení, je tudíž třeba posoudit závažnost zásahu do základních práv na respektování soukromého života a ochranu osobních údajů, k němuž tímto zpracováním dochází, a ověřit, zda je význam cíle obecného zájmu sledovaného tímto zpracováním úměrný závažnosti zásahu (v tomto smyslu viz rozsudek ze dne 1. srpna 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, bod 98). 94      Za účelem posouzení závažnosti tohoto zásahu je třeba zohlednit zejména povahu dotčených osobních údajů, konkrétně případně citlivou povahu těchto údajů, jakož i povahu a konkrétní způsoby zpracování dotčených údajů, konkrétně počet osob, které mají přístup k těmto údajům, a podmínky pro přístup k těmto údajům (rozsudek ze dne 1. srpna 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, bod 99). 95      Kdyby předkládající soud konstatoval, že v rámci informací dotčených ve věci v původním řízení, které zveřejnila ÖADR, je zmíněn název nebo kategorie zakázané látky nebo metody a tyto informace jsou na základě okolností uvedených v bodě 73 tohoto rozsudku „údaji o zdravotním stavu“, nejen že by měl tuto okolnost zohlednit při posuzování otázky, zda byly dodrženy požadavky přiměřenosti vyplývající z čl. 5 odst. 1 písm. c) a čl. 6 odst. 3 GDPR, ale měl by rovněž ověřit, jak bylo uvedeno v bodech 70 až 72 tohoto rozsudku, zda zveřejnění těchto údajů splňuje podmínky stanovené zejména v čl. 9 odst. 2 písm. g) tohoto nařízení. 96      Co se týče zpracování, které provádí zejména společnost NADA, jež na svých internetových stránkách zveřejňuje totožnost dotčeného sportovce, avšak neuvádí zde, o jakou látku se případně jedná, je třeba konstatovat, že i takové zveřejnění představuje závažný zásah do základních práv na respektování soukromého života a na ochranu osobních údajů, jelikož může vyvolat odmítavou reakci společnosti a vést ke stigmatizaci dotyčné osoby. Takové zveřejnění navíc vede k tomu, že předmětné informace jsou volně přístupné potenciálně neomezenému počtu osob. Tyto informace kromě toho mohou být po zveřejnění zkopírovány na další internetové stránky, a mohou tedy zůstat přístupné i poté, co jsou smazány z internetových stránek, na kterých byly původně zveřejněny. Takové okolnosti mohou zhoršit dopady na předmětná základní práva subjektů údajů. 97      Závažnost tohoto zásahu je tedy třeba poměřit s významem cíle, který předmětné zveřejňování sleduje. 98      V tomto ohledu je třeba připomenout, že třetí a čtvrtá otázka se týkají zveřejňování osobních údajů profesionálních sportovců, na které se nevztahují výjimky stanovené v ADBG, jež se týkají rekreačních sportovců, obzvláště zranitelných osob a „oznamovatelů“. Takové zveřejňování není dle tohoto zákona podmíněno žádným individuálním posouzením, v jehož rámci by byly zohledněny okolnosti dané věci. 99      V této souvislosti si předkládající soud klade otázku, zda GDPR vyžaduje, aby správce před zveřejněním těchto údajů v každém jednotlivém případě zvážil dotčené zájmy a ověřil přiměřenost takového zveřejnění s ohledem na individuální okolnosti, nebo zda v tomto ohledu postačuje, že vnitrostátní zákonodárce abstraktně vymezil, v jakých situacích může nebo musí být od zveřejnění upuštěno. 100    Jak vyplývá z § 21 a § 23 ADBG, rakouský zákonodárce předem vymezil příslušné situace bez ohledu na okolnosti jednotlivých případů, uvedl všechny zveřejňované informace a stanovil několik výjimek. Vymezil tak rámec tohoto zveřejňování a provedl abstraktní zvážení zájmu sportovců, jejichž osobní údaje jsou zpřístupňovány, na jedné straně a zájmů souvisejících s bojem proti dopingu na straně druhé. 101    S ohledem na závažnost zásahu do základních práv na respektování soukromého života a na ochranu osobních údajů subjektů údajů, který je důsledkem zveřejnění informací o sankcích za porušení antidopingových pravidel na internetu, jak bylo uvedeno v bodě 96 tohoto rozsudku, nicméně nelze vyloučit, že nad rámec těchto předem vymezených situací nastanou specifické okolnosti, v jejichž důsledku bude zveřejnění dotčených údajů neslučitelné s požadavkem vyváženého poměření jednotlivých dotčených zájmů, které zejména umožňuje, aby závažnost zásahu, jenž je důsledkem dotčeného zveřejnění, byla úměrná významu sledovaných cílů. 102    I když tedy čl. 5 odst. 1 písm. a) a c) a čl. 6 odst. 3 druhý pododstavec GDPR v oblasti boje proti dopingu ve sportu nevyžadují, aby bylo provedeno individuální zvážení ve všech případech, vyplývá z nich, že pokud nelze v konkrétním případě zajistit dodržení zásady proporcionality v rámci situací, jež jsou předem jako takové vymezeny ve vnitrostátní právní úpravě, správci musí náležitě zohlednit okolnosti daného případu a před zveřejněním dotčených údajů na internetu provést takové individuální zvážení na základě těchto okolností. 103    V rámci tohoto zvážení je třeba vzít do úvahy i závažnost porušení antidopingových pravidel a postavení dotčené osoby a mimo jiné i to, zda je tato osoba renomovaný sportovec, který je v rámci konkrétní činnosti, nebo dokonce i mimo ni známý na národní nebo mezinárodní úrovni. Vrcholoví sportovci, kteří se těší určité všeobecné známosti, totiž nesou specifickou odpovědnost. 104    Pokud jde také o dobu, po kterou jsou předmětné informace zveřejněny, platí, že čím déle jsou zveřejněny, tím závažnější jsou důsledky pro zájmy a soukromý život subjektu údajů a tím přísnější jsou požadavky kladené mimo jiné na přiměřenost takového zveřejnění [v tomto smyslu viz rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení), C‑26/22 a C‑64/22, EU:C:2023:958, bod 95]. Tak je tomu zejména v případě, kdy se informace zveřejňují potenciálně neomezenému počtu adresátů. 105    Neanonymizované zveřejňování informací dotčených ve věci v původním řízení na internetových stránkách společnosti NADA a ÖADR po dobu delší, než je doba, po kterou se uplatňují příslušné sankce, by s ohledem na závažnost zásahu do základních práv zakotvených v článcích 7 a 8 Listiny, k němuž takové zveřejňování vede, nebylo přiměřené významu sledovaného cíle. 106    Pokud jde o neanonymizované zveřejňování informací dotčených ve věci v původním řízení na internetových stránkách společnosti NADA a ÖADR po dobu, jež odpovídá době, po kterou se uplatňují příslušné sankce, je třeba podotknout, že sankce mohou být uloženy na dlouhou, či dokonce velmi dlouhou dobu, nebo mohou být uloženy doživotně. Pokud přitom dotyčný sportovec dosáhne během doby uplatňování příslušných sankcí věku, kdy již není schopen danou sportovní činnost provozovat, zveřejnění, které by zjevně pokračovalo i po dosažení tohoto věku, se v zásadě rovněž jeví jako nepřiměřené. Je tedy na správci, aby se s ohledem na všechny okolnosti daného případu ujistil, že zásah do základních práv zakotvených v článcích 7 a 8 Listiny, k němuž vede dotčené zveřejnění, je úměrný významu sledovaného cíle. 107    S ohledem na výše uvedené je třeba na třetí a čtvrtou otázku odpovědět tak, že čl. 5 odst. 1 písm. a) a c) a čl. 6 odst. 3 druhý pododstavec GDPR musí být vykládány v tom smyslu, že nebrání vnitrostátní právní úpravě, která vnitrostátním antidopingovým orgánům ukládá povinnost zveřejnit na internetu takové osobní údaje týkající se všech sportovců, jimž byla uložena sankce za porušení antidopingových pravidel, jako jsou jména dotčených sportovců, doba trvání zákazu, který jim byl uložen, a důvody jeho uložení, a to s výjimkou rekreačních sportovců, obzvláště zranitelných osob a „oznamovatelů“, jestliže tato právní úprava umožňuje správcům provést nad rámec těchto výjimek a před takovým zveřejněním individuální zvážení dotčených zájmů, aby bylo zaručeno, že toto zveřejnění bude provedeno v souladu s tímto nařízením. K páté otázce 108    Podstatou páté otázky předkládajícího soudu je, zda musí být článek 10 GDPR vykládán v tom smyslu, že se vztahuje na zpracování osobních údajů týkajících se porušení pravidel stanovených ve vnitrostátní antidopingové právní úpravě a sankcí uložených za taková porušení. 109    Předkládající soud v tomto ohledu podotýká, že k sankcím dotčeným ve věci v původním řízení patří odebrání titulů a ocenění, jakož i pozastavení činnosti na několik let nebo doživotní zákaz účasti na všech národních i mezinárodních soutěžích. Kromě toho uvádí, že podle § 24 odst. 4 ADBG platí, že sportovní organizace nemohou do své činnosti zapojovat osoby, na které se vztahuje nějaký zákaz podle antidopingových předpisů. 110    V rámci této otázky se tedy předkládající soud táže, zda osobní údaje týkající se porušení pravidel stanovených vnitrostátní antidopingovou právní úpravou a sankcí uložených za taková porušení představují osobní údaje „týkající se odsouzení v trestních věcech a trestných činů či souvisejících bezpečnostních opatření“ ve smyslu článku 10 GDPR. 111    Podle tohoto článku 10 platí, že zpracování posledně uvedené kategorie údajů se může provádět pouze pod dozorem orgánu veřejné moci, ledaže je povoleno právem Unie nebo členského státu poskytujícím vhodné záruky, pokud jde o práva a svobody subjektů údajů. 112    V tomto ohledu je třeba připomenout, že účelem zmíněného článku 10 je zajistit zvýšenou ochranu při zpracování, které může z důvodu zvláštní citlivosti dotčených údajů zvláště závažným způsobem zasáhnout do základních práv na respektování soukromého života a na ochranu osobních údajů, která jsou zaručena v článcích 7 a 8 Listiny [rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 74 a citovaná judikatura]. 113    Má-li být zjištěno, zda takový přístup představuje zpracování osobních údajů týkajících se „trestných činů“ ve smyslu článku 10 GDPR, je třeba zaprvé poznamenat, že tento pojem odkazuje výlučně na protiprávní činy označené za trestné a zvýšená ochrana upravená v tomto článku je vyhrazena pouze pro trestněprávní oblast, jak vyplývá zejména z procesu vzniku GDPR, z něhož je zřejmé, že unijní normotvůrce ve zmíněném článku 10 úmyslně neuvedl přídavné jméno „správní“ [v tomto smyslu viz rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, body 77 a 78]. 114    Zadruhé pojem „trestný čin“, který je rozhodující pro určení toho, zda se na takové osobní údaje, jako jsou osobní údaje dotčené ve věci v původním řízení, uplatní článek 10 GDPR, musí být v celé Unii vykládán autonomním a jednotným způsobem, přičemž tento výklad je třeba nalézt s přihlédnutím k cíli tohoto článku a k jeho kontextu, aniž je v tomto ohledu rozhodující, jakým způsobem kvalifikuje předmětná porušení pravidel dotčený členský stát, jelikož tato kvalifikace se může v jednotlivých členských státech lišit [v tomto smyslu viz rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 85 a citovaná judikatura]. 115    Zatřetí je třeba konstatovat, že porušení antidopingových pravidel a antidopingové sankce se týkají pouze konkrétní skupiny osob, a sice sportovců, a podobně jako disciplinární sankce mají za cíl zajistit, aby příslušníci této skupiny dodržovali pravidla chování, která jsou specifická pro tuto skupinu. 116    Z judikatury Evropského soudu pro lidská práva v tomto ohledu vyplývá, že ve prospěch trestní povahy předmětné sankce svědčí skutečnost, že se pravidlo postihující určité protiprávní jednání vztahuje na všechny občany (v tomto smyslu viz rozsudek ESLP ze dne 21. února 1984, Öztürk v. Německo, CE:ECHR:1984:0221JUD000854479, bod 53). Co se naproti tomu týče disciplinárního řízení vedeného před stavovskými orgány, v jehož rámci se jedná o právo vykonávat určité povolání, ESLP již konstatoval, že není pochyb o „občanskoprávní“ povaze dotčených práv (rozsudek ESLP ze dne 2. října 2018, Mutu a Pechstein v. Švýcarsko, CE:ECHR:2018:1002JUD004057510, bod 58). 117    Na rozdíl od věci, v níž byl vydán rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body) (C‑439/19, EU:C:2021:504), v níž se připsání trestných bodů za spáchání dopravních přestupků opíralo o právní předpis s všeobecnou působností, se ovšem vnitrostátní právní úprava dotčená ve věci v původním řízení uplatňuje na skupinu osob, na něž se vztahuje soubor zvláštních pravidel. 118    Kromě toho je třeba podotknout, že porušení antidopingových pravidel a antidopingové sankce stanovené v této právní úpravě mají za cíl nejen chránit společnost a potrestat dotčenou osobu, ale rovněž hájit zejména integritu sportovního soutěžení a pověst příslušné sportovní disciplíny. 119    Z toho vyplývá, že taková porušení antidopingových pravidel, o něž se jedná ve věci v původním řízení, nespadají pod pojem „trestné činy“ uvedený v článku 10 GDPR. 120    S ohledem na všechny výše uvedené úvahy je třeba na pátou otázku odpovědět tak, že článek 10 GDPR musí být vykládán v tom smyslu, že se nevztahuje na zpracování osobních údajů týkajících se porušení pravidel stanovených ve vnitrostátní antidopingové právní úpravě a sankcí uložených za taková porušení, jelikož bez ohledu na kvalifikaci těchto porušení ve vnitrostátním právu se uvedená porušení a tyto sankce týkají pouze konkrétní skupiny osob, a sice sportovců, podobně jako disciplinární sankce, jejichž cílem je zajistit, aby příslušníci určité skupiny dodržovali pravidla chování, která jsou specifická pro tuto skupinu. K šesté otázce 121    V případě kladné odpovědi na pátou otázku se předkládající soud v podstatě táže, zda musí být článek 10 GDPR vykládán v tom smyslu, že rozhodnutí orgánu pověřeného dozorem nad zpracováním osobních údajů týkajících se odsouzení v trestních věcech a trestných činů musí podléhat soudnímu přezkumu. 122    S ohledem na zápornou odpověď na pátou otázku není namístě na šestou otázku odpovídat. K sedmé otázce 123    Podstatou sedmé otázky předkládajícího soudu je, zda je přípustná stížnost podaná u dozorového úřadu podle článku 77 GDPR, která se týká údajného porušení práva na výmaz stanoveného v článku 17 tohoto nařízení, pokud ke zpracování osobních údajů subjektu údajů nedošlo ani ke dni podání této stížnosti, ani ke dni, kdy o ní tento úřad rozhoduje, ale existují konkrétní náznaky toho, že správce provede zpracování osobních údajů bezprostředně nebo v blízké budoucnosti. V případě záporné odpovědi si předkládající soud klade otázku, zda je uvedená stížnost přípustná dodatečně, pokud k tomuto zpracování dojde následně v průběhu soudního řízení. 124    Pokud jde o první podotázku, je třeba připomenout, že čl. 77 odst. 1 GDPR stanoví, že každý subjekt údajů má právo podat stížnost u některého dozorového úřadu, „pokud se [...] domnívá, že zpracováním jeho osobních údajů je porušeno toto nařízení“. V článku 77 odst. 2 GDPR jsou pak uvedeny informace, které musí dozorový úřad stěžovateli poskytnout. 125    Podle ustálené judikatury Soudního dvora platí, že při výkladu ustanovení unijního práva je třeba zohlednit nejen jeho znění v souladu s jeho obvyklým smyslem v běžném jazyce, ale i jeho kontext a cíle sledované právní úpravou, jejíž je součástí [rozsudky ze dne 17. listopadu 1983, Merck, 292/82, EU:C:1983:335, bod 12, jakož i ze dne 9. ledna 2025, Österreichische Datenschutzbehörde (Nepřiměřené žádosti), C‑416/23, EU:C:2025:3, bod 24]. 126    Zaprvé v článku 77 GDPR není stanovena lhůta pro podání stížnosti týkající se zpracování osobních údajů, v jehož důsledku údajně došlo k porušení tohoto nařízení, ani se v něm nepočítá se situací, kdy k dotčenému zpracování osobních údajů ještě nedošlo. Jak uvedl generální advokát v bodě 186 svého stanoviska, v tomto článku je použito sloveso „je“, což znamená, že zpracování již muselo proběhnout, avšak možnost budoucího zpracování v něm vyloučena není. 127    Zadruhé v rámci kontextových aspektů je třeba poukázat na úkoly a pravomoci dozorových úřadů. Podle čl. 57 odst. 1 písm. f) GDPR zejména platí, že každý dozorový úřad má povinnost zabývat se na svém území stížnostmi, které mu má podle čl. 77 odst. 1 tohoto nařízení právo podat každý subjekt údajů, jenž se domnívá, že zpracováním jeho osobních údajů je porušeno uvedené nařízení, a také povinnost ve vhodné míře prošetřit předmět takové stížnosti. Dozorový úřad se musí takovou stížností zabývat s veškerou náležitou péčí [rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení), C‑26/22 a C‑64/22, EU:C:2023:958, bod 56 a citovaná judikatura]. 128    Článek 58 odst. 1 GDPR nadto přiznává každému dozorovému úřadu významné vyšetřovací pravomoci za účelem vyřizování podaných stížností. Pokud takovýto úřad na základě šetření zjistí porušení ustanovení tohoto nařízení, je povinen přijmout vhodná opatření k nápravě zjištěného nedostatku. Za tímto účelem jsou v čl. 58 odst. 2 GDPR vyjmenovány různé nápravné pravomoci, které má dozorový úřad, pokud jde přitom o volbu vhodných a nezbytných prostředků, má v tomto ohledu určitý prostor pro uvážení [rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení), C‑26/22 a C‑64/22, EU:C:2023:958, body 57 a 68]. 129    K těmto nápravným pravomocem patří i pravomoc dozorového úřadu upozornit správce, že zamýšlené operace zpracování pravděpodobně porušují GDPR, která je stanovena v čl. 58 odst. 2 písm. a) tohoto nařízení. Dozorový úřad má tedy pravomoci preventivní povahy. 130    Z toho plyne, že řízení o stížnosti je koncipováno jako mechanismus schopný účinně chránit práva a zájmy subjektů údajů [rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení), C‑26/22 a C‑64/22, EU:C:2023:958, bod 58]. 131    Kromě toho je třeba připomenout, že v souvislosti s čl. 3 bodem 2 směrnice Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV (Úř. věst. 2016, L 119, s. 89), Soudní dvůr rozhodl, že každý pokus o zpracování údajů může již představovat zpracování údajů [v tomto smyslu viz rozsudek ze dne 4. října 2024, Bezirkshauptmannschaft Landeck (Pokus o přístup k osobním údajům uloženým v mobilním telefonu), C‑548/21, EU:C:2024:830, body 69 až 77]. 132    Z těchto poznatků vyplývá, že v kontextu GDPR není vyloučen preventivní zásah dozorových úřadů v rámci vyřizování stížností. 133    Tento výklad je zatřetí potvrzen cíli sledovanými GDPR. Zejména z bodu 10 odůvodnění tohoto nařízení totiž vyplývá, že jeho cílem je zajistit vysokou úroveň ochrany fyzických osob v souvislosti se zpracováním osobních údajů v rámci Unie. V bodě 11 odůvodnění zmíněného nařízení je kromě toho uvedeno, že účinná ochrana těchto údajů v celé Unii vyžaduje posílení práv subjektů údajů. 134    Kdyby přitom byl čl. 77 odst. 1 GDPR vykládán v tom smyslu, že zcela vylučuje možnost podat stížnost dozorovému úřadu v situaci, kdy se správce teprve chystá zpracování provést, a byla by tak omezena povinnost dozorových úřadů zabývat se stížnostmi podle čl. 57 odst. 1 písm. f) tohoto nařízení, odporoval by takový přístup cílům sledovaným uvedeným nařízením, a to zejména cíli spočívajícímu v zajištění vysoké úrovně ochrany fyzických osob v souvislosti se zpracováním osobních údajů v rámci Unie. 135    Stížnost podanou na základě článku 77 GDPR tudíž lze považovat za přípustnou, přestože v době, kdy subjekt údajů uvedenou stížnost podal k dozorovému úřadu, ještě nedošlo ke zpracování osobních údajů, které je předmětem této stížnosti, za předpokladu, že toto zpracování není ryze hypotetické. 136    Ve věci v původním řízení byla předkládajícímu soudu předložena žaloba proti rozhodnutí, kterým byla odmítnuta stížnost směřující k výmazu dotčených údajů, a to kvůli nedostatku právního zájmu na jejím podání, jelikož tyto údaje ještě nebyly zveřejněny. Dotčená žalobkyně v původním řízení YT v tomto ohledu namítla, že jí bylo rozhodnutím ÖADR uloženo opatření spočívající ve čtyřletém pozastavení činnosti, a bezprostředně tedy hrozí, že dojde ke zveřejnění uvedených údajů. 137    Předpokladem stížnosti směřující k výmazu osobních údajů ovšem v zásadě je, že tyto údaje byly zpracovány. Správce totiž takové stížnosti nemůže vyhovět a údaje vymazat, pokud ještě nebyly zpřístupněny. 138    S výhradou ověření, které bude muset provést předkládající soud, nicméně vše nasvědčuje tomu, že cílem stížnosti, kterou podala YT na základě článku 77 GDPR, bylo ve skutečnosti zabránit zveřejnění dotčených osobních údajů, a nikoli je vymazat. Tato stížnost tedy byla přípustná, jelikož v době podání u příslušného dozorového úřadu existovaly konkrétní náznaky toho, že zpracování těchto údajů bezprostředně hrozí nebo nastane v blízké budoucnosti. Takový závěr je třeba učinit tím spíše, že tímto zpracováním, tj. zveřejněním jména YT na internetu z toho důvodu, že jí byla uložena sankce za porušení antidopingových pravidel, a doby trvání zákazu, který jí byl uložen, dochází k závažnému zásahu do základních práv na respektování soukromého života a na ochranu osobních údajů subjektu údajů, jak bylo konstatováno v bodě 96 tohoto rozsudku. 139    S ohledem na všechny výše uvedené úvahy je třeba na sedmou otázku odpovědět tak, že článek 77 GDPR musí být vykládán v tom smyslu, že stížnost podaná na základě tohoto článku, jejímž cílem je zabránit tomu, aby byly na internetu zveřejněny osobní údaje týkající se porušení antidopingových pravidel, je přípustná, jestliže v době podání této stížnosti u příslušného dozorového úřadu existují konkrétní náznaky toho, že toto zveřejnění bezprostředně hrozí nebo nastane v blízké budoucnosti. K nákladům řízení 140    Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují. Z těchto důvodů Soudní dvůr (velký senát) rozhodl takto: 1)      Článek 2 odst. 2 písm. a) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) ve spojení s čl. 16 odst. 2 první větou SFEU musí být vykládán v tom smyslu, že zpracování osobních údajů spočívající v tom, že jsou na základě vnitrostátních antidopingových pravidel zveřejněna jména sportovců sankcionovaných za porušení těchto pravidel, sportovní disciplína, kterou provozují, porušení uvedených pravidel, jehož se dopustili, sankce, která jim byla uložena, a začátek a konec této sankce, spadá do oblasti působnosti práva Unie, a tedy do působnosti tohoto nařízení. 2)      Článek 9 nařízení 2016/679 musí být vykládán v tom smyslu, že informace, že se určitá osoba dopustila určitého porušení antidopingových pravidel a na základě tohoto porušení má zakázánu účast na národních i mezinárodních soutěžích, v zásadě nespadá pod pojem „údaje o zdravotním stavu“ ve smyslu tohoto článku 9. To ale neplatí, pokud je v rámci takové informace zmíněn název nebo kategorie zakázané látky nebo metody, s níž souvisí uvedené porušení, a tato zmínka v kombinaci s dalšími informacemi o této osobě může, byť nepřímo, odhalit na základě myšlenkového pochodu spočívajícího ve spojení souvislostí nebo dedukci informace o minulém, současném či budoucím tělesném nebo duševním zdravotním stavu uvedené osoby. 3)      Článek 5 odst. 1 písm. a) a c) a čl. 6 odst. 3 druhý pododstavec nařízení 2016/679 musí být vykládány v tom smyslu, že nebrání vnitrostátní právní úpravě, která vnitrostátním antidopingovým orgánům ukládá povinnost zveřejnit na internetu takové osobní údaje týkající se všech sportovců, jimž byla uložena sankce za porušení antidopingových pravidel, jako jsou jména dotčených sportovců, doba trvání zákazu, který jim byl uložen, a důvody jeho uložení, a to s výjimkou rekreačních sportovců, obzvláště zranitelných osob a „oznamovatelů“, jestliže tato právní úprava umožňuje správcům provést nad rámec těchto výjimek a před takovým zveřejněním individuální zvážení dotčených zájmů, aby bylo zaručeno, že toto zveřejnění bude provedeno v souladu s tímto nařízením. 4)      Článek 10 nařízení 2016/679 musí být vykládán v tom smyslu, že se nevztahuje na zpracování osobních údajů týkajících se porušení pravidel stanovených ve vnitrostátní antidopingové právní úpravě a sankcí uložených za taková porušení, jelikož bez ohledu na kvalifikaci těchto porušení ve vnitrostátním právu se uvedená porušení a tyto sankce týkají pouze konkrétní skupiny osob, a sice sportovců, podobně jako disciplinární sankce, jejichž cílem je zajistit, aby příslušníci určité skupiny dodržovali pravidla chování, která jsou specifická pro tuto skupinu. 5)      Článek 77 nařízení 2016/679 musí být vykládán v tom smyslu, že stížnost podaná na základě tohoto článku, jejímž cílem je zabránit tomu, aby byly na internetu zveřejněny osobní údaje týkající se porušení antidopingových pravidel, je přípustná, jestliže v době podání této stížnosti u příslušného dozorového úřadu existují konkrétní náznaky toho, že toto zveřejnění bezprostředně hrozí nebo nastane v blízké budoucnosti. Podpisy *      Jednací jazyk: němčina.