Arrêt CJUE C-474/24 du 14 juillet 2026 : la publication de données personnelles n’échappe jamais au principe de proportionnalité
Le 14 juillet 2026, la Cour de justice de l’Union européenne (CJUE) a rendu un arrêt majeur concernant la publication de données personnelles dans le cadre de la lutte contre le dopage sportif.
Si cette décision concerne le secteur sportif, sa portée dépasse ce domaine. Elle rappelle que la poursuite d’un objectif d’intérêt public ne dispense pas le responsable de traitement d’apprécier concrètement la proportionnalité du traitement mis en œuvre.
Les faits
La réglementation autrichienne imposait aux organismes nationaux antidopage de publier sur Internet :
- le nom du sportif sanctionné ;
- la discipline concernée ;
- la violation commise ;
- la durée de la sanction.
Plusieurs sportifs ont contesté cette publication et demandé l’effacement de leurs données personnelles, estimant que cette diffusion portait une atteinte disproportionnée à leur vie privée.
Les principaux enseignements de la CJUE
1. Le RGPD s’applique pleinement
Premier enseignement : la lutte contre le dopage relève bien du champ d’application du RGPD. Le fait que cette mission poursuive un objectif d’intérêt général ou soit organisée par des organismes investis d’une mission spécifique ne permet pas d’écarter les exigences du règlement européen. L’intérêt public ne constitue pas une exception générale au RGPD.
2. Toutes les données liées au dopage ne sont pas des données de santé
La CJUE apporte une précision importante sur l’article 9 du RGPD en précisant que le simple fait d’indiquer qu’une personne a été sanctionnée pour une violation des règles antidopage ne constitue pas nécessairement une donnée de santé.
En revanche, si la publication mentionne une substance interdite ou une méthode de dopage permettant, directement ou indirectement, de déduire l’état de santé physique ou psychique de la personne, alors ces informations peuvent devenir des données de santé bénéficiant du régime renforcé de l’article 9 du RGPD. Cette distinction est particulièrement importante pour toutes les organisations manipulant des informations susceptibles de révéler indirectement des éléments de santé.
3. Une base légale ne suffit pas, la proportionnalité doit être appréciée
C’est sans doute l’apport majeur de l’arrêt. En effet, la CJUE reconnaît que :
- la transparence des sanctions poursuit un objectif légitime ;
- la publication nominative peut contribuer à prévenir le dopage ;
- cette publication peut être nécessaire pour assurer l’effectivité des sanctions.
Mais la CJUE rappelle aussi qu’une publication accessible librement sur Internet peut constituer une ingérence grave dans les droits fondamentaux des personnes concernées puisqu’elle
- elle expose la personne à une stigmatisation durable ;
- elle peut être reprise sur d’autres sites ;
- elle peut rester accessible longtemps après la suppression de la publication initiale.
Par conséquent, lorsque la réglementation nationale ne garantit pas à elle seule le respect du principe de proportionnalité, le responsable de traitement doit procéder à une analyse individuelle avant toute publication.
Cette analyse doit notamment prendre en compte :
- la gravité de la violation ;
- la notoriété de la personne concernée ;
- les conséquences concrètes de la diffusion ;
- les circonstances particulières du dossier.
Une obligation légale de publier n’exonère pas automatiquement le responsable de traitement de son obligation de vérifier que cette publication demeure proportionnée.
4. Les sanctions disciplinaires ne sont pas des infractions pénales au sens du RGPD
La Cour précise également que les sanctions antidopage ne relèvent pas de l’article 10 du RGPD relatif aux données pénales, elles constituent des sanctions disciplinaires propres au monde sportif. Cette distinction intéressera de nombreuses organisations qui gèrent des procédures disciplinaires internes.
5. Agir avant la publication est possible
Enfin, la CJUE confirme qu’une personne peut saisir l’autorité de contrôle avant même que ses données ne soient publiées. Dès lors qu’il existe des indices concrets qu’une publication est imminente, une réclamation est recevable. Cette précision renforce la dimension préventive du contrôle exercé par les autorités de protection des données.
Ce qu’il faut retenir pour les organisations
Au-delà du secteur sportif, cet arrêt constitue un rappel pour toutes les organisations amenées à publier des données personnelles dans un objectif de transparence, de conformité ou de communication.
Il concerne notamment :
- les fédérations professionnelles ;
- les ordres professionnels ;
- les collectivités ;
- les autorités administratives ;
- les établissements publics ;
- les entreprises publiant des sanctions disciplinaires ou des listes nominatives.
Même lorsqu’une publication repose sur un texte ou poursuit un objectif légitime, plusieurs questions doivent systématiquement être posées :
- La publication est-elle réellement nécessaire ?
- Les données diffusées sont-elles limitées au strict nécessaire ?
- Existe-t-il un moyen moins intrusif d’atteindre le même objectif ?
- Les circonstances individuelles justifient-elles une adaptation de la publication ?
L’analyse de Phénix Privacy
Cet arrêt s’inscrit dans une jurisprudence constante de la CJUE => le principe de proportionnalité demeure la clef de voûte du RGPD. Il rappelle qu’aucune organisation ne peut se limiter à constater l’existence d’une base légale ou d’une obligation réglementaire. Le responsable de traitement doit être en mesure de démontrer que les modalités concrètes du traitement respectent les principes de nécessité, de minimisation et de proportionnalité.
Cette exigence est d’ailleurs de plus en plus présente dans les contrôles des autorités de protection des données et trouve également un écho dans le Règlement sur l’Intelligence Artificielle (AI Act) qui renforce les attentes en matière de gouvernance et d’évaluation des risques.
La conformité ne consiste pas simplement à appliquer un texte, elle suppose de documenter les arbitrages réalisés et de démontrer que les droits des personnes ont effectivement été pris en compte.
