Par l'arrêt CJUE, grande chambre, 14 juillet 2026, NADA Austria e.a., C-474/24, la Cour de justice répond au Bundesverwaltungsgericht autrichien, saisi par quatre sportifs professionnels suspendus pour infraction aux règles antidopage. La législation autrichienne imposait la publication sur le site de l'agence nationale antidopage de leur nom, de leur discipline, de l'infraction, de la sanction et de ses dates, et l'un des organes disciplinaires y ajoutait le nom de la substance interdite. Les intéressés soutenaient que cette mise en ligne systématique révélait des données de santé et des données d'infraction, en méconnaissance du RGPD. La question posée intéresse tout organisme investi d'une mission d'intérêt public : à quelles conditions peut-il publier sur internet l'identité des personnes qu'il sanctionne.
Les données d'une sanction disciplinaire ne sont ni des données de santé ni des données pénales, sauf mention de la substance
La Cour écarte d'abord la qualification de données relatives aux condamnations pénales et aux infractions au sens de l'article 10 du RGPD : les manquements aux règles antidopage visent un groupe déterminé, les sportifs, à la manière d'un régime disciplinaire professionnel. Elle refuse également, en principe, la qualification de données de santé au sens de l'article 9, sauf lorsque la publication mentionne la substance ou la méthode interdite et permet ainsi, combinée à d'autres informations, de déduire l'état de santé de la personne ; le régime des données sensibles s'applique alors.
Ce raisonnement se transpose aux sanctions publiées par une autorité publique française : un retrait d'agrément, une exclusion d'une procédure de marché ou une sanction disciplinaire ne relèvent pas par eux-mêmes de l'article 10, mais la motivation publiée fait basculer la publication dans le champ de l'article 9 si elle évoque un état de santé, une addiction ou un traitement.
La publication nominative est admise si elle poursuit un objectif d'intérêt général et reste proportionnée
La Cour reconnaît que la lutte contre le dopage constitue un objectif d'intérêt général et que la publication nominative est apte à l'atteindre : elle dissuade, prévient et renforce l'effet de la sanction, notamment à l'égard des employeurs et sponsors actuels ou potentiels. La diffusion au-delà d'un cercle restreint n'excède pas le nécessaire. Le RGPD ne fait donc pas obstacle, par principe, à ce qu'un organisme public mette en ligne le nom des personnes sanctionnées, la durée de la mesure et ses motifs.
L'entité chargée de la publication doit procéder, avant la mise en ligne, à une mise en balance individuelle des intérêts en présence lorsque la réglementation nationale ne garantit pas elle-même cette proportionnalité. La publication ne peut se prolonger au-delà de la période d'application de la sanction ; son maintien ultérieur constitue une ingérence disproportionnée dans la vie privée. La Cour relève que les sportifs de haut niveau, par leur notoriété, portent une responsabilité particulière, ce qui pèse dans la balance sans la supprimer.
La personne menacée d'une publication doit disposer d'un recours préventif devant l'autorité de contrôle
L'un des requérants avait été déclaré sans intérêt à agir devant l'autorité autrichienne de protection des données parce que ses données n'étaient pas encore publiées. La grande chambre juge au contraire que la personne concernée doit pouvoir saisir l'autorité de contrôle à titre préventif, dès qu'il existe des indications précises qu'une publication la concernant est imminente. En droit interne, cette exigence conforte la saisine préventive de la CNIL et l'intérêt d'une procédure contradictoire préalable.
Ce que l'arrêt induit pour les administrations qui publient des décisions nominatives
Les administrations qui mettent en ligne des sanctions, des listes d'exclusion, des arrêtés nominatifs ou des décisions disciplinaires doivent revoir leur chaîne de publication. La base légale doit être identifiée et documentée dans le registre des traitements, avec la finalité d'intérêt général poursuivie. Une analyse de proportionnalité, propre à chaque décision ou à chaque catégorie homogène de décisions, doit être conservée au dossier. La motivation publiée doit être relue pour écarter toute mention révélant un état de santé. La durée de mise en ligne doit être alignée sur la durée de la mesure, avec un retrait automatique à son terme. La personne concernée doit enfin être informée avant la publication et disposer d'un délai pour présenter ses observations ou saisir la CNIL. Les organismes qui publient aujourd'hui sans date de retrait ni examen individuel s'exposent à une sanction de l'autorité de contrôle et à une action indemnitaire de la personne concernée.
Références : CJUE, grande chambre, 14 juillet 2026, NADA Austria e.a., aff. C-474/24 ; Communiqué de presse n° 103/26 de la Cour de justice, 14 juillet 2026.
