Publier une sanction nominative en ligne est une pratique banale. Un texte l’autorise, alors on publie. Le 14 juillet 2026, la Cour de justice de l’Union européenne a jugé ce raisonnement incomplet. Et elle a ouvert une porte que peu de DPO avaient anticipée.
Que juge la CJUE dans l’affaire NADA Austria ?
Quatre athlètes autrichiens contestaient la publication de leur nom sur le site de l’agence antidopage nationale. Y figuraient leur discipline, la violation commise, la sanction et ses dates. La loi autrichienne imposait cette publication.
Dans son arrêt C-474/24 du 14 juillet 2026, la Cour valide le principe. La lutte contre le dopage poursuit un objectif d’intérêt général. La publication contribue à la dissuasion et à l’effectivité des sanctions.
Mais la Cour assortit ce feu vert de trois limites. Ce sont elles qui intéressent tout responsable de traitement.
Peut-on saisir l’autorité de contrôle avant que le traitement ait eu lieu ?
C’est l’apport le plus contre-intuitif de l’arrêt. L’autorité autrichienne avait rejeté la réclamation du quatrième athlète pour défaut d’intérêt à agir. Son motif : ses données n’avaient pas encore été publiées.
La Cour écarte cette lecture. Une personne doit pouvoir introduire une réclamation de manière préventive, dès lors qu’il existe des indices concrets qu’une publication la concernant est imminente ou aura lieu dans un avenir proche.
La réclamation n’est irrecevable que si le traitement reste purement hypothétique. Une publication annoncée ou programmée par un texte ne l’est pas.
Le calendrier du risque bascule. Jusqu’ici, on corrigeait après la plainte, qui arrivait après le traitement. Désormais, un projet annoncé peut être attaqué avant sa mise en ligne. La conformité doit être prête au moment de l’annonce, pas au moment de la publication. Cela vaut aussi pour la procédure de réclamation devant la CNIL, qui suit la même logique.
Un texte qui autorise la publication dispense-t-il de la mise en balance ?
Non. C’est la deuxième limite, et la plus exigeante en pratique. L’entité chargée de la publication doit pouvoir procéder, avant celle-ci, à une mise en balance individuelle des intérêts en présence.
Autrement dit, le texte qui autorise ne remplace pas l’arbitrage. Il faut examiner chaque situation, pas appliquer un régime indifférencié. La Cour relève d’ailleurs qu’une responsabilité particulière pèse sur les sportifs de haut niveau jouissant d’une certaine notoriété. Le raisonnement est proche de la méthode de mise en balance appliquée à l’intérêt légitime.
Troisième limite : la proportionnalité de la durée. Une publication nominative maintenue au delà de la période d’application de la sanction ne serait pas proportionnée. La date de retrait doit donc être décidée dès la mise en ligne.
La sanction publiée est-elle une donnée de santé ou une donnée pénale ?
La Cour tranche deux qualifications que beaucoup tenaient pour acquises.
| Qualification invoquée | Ce que juge la Cour | Conséquence |
|---|---|---|
| Données concernant la santé (art. 9) | Non, en principe. Sauf si la substance interdite est mentionnée et que cette mention, croisée avec d’autres informations, révèle même indirectement l’état de santé. | Le nom de la substance est le point de bascule. |
| Données relatives aux condamnations pénales et aux infractions (art. 10) | Non. Ces infractions ne visent qu’un groupe particulier de personnes, à l’instar de sanctions disciplinaires. | Pas de contrôle de l’autorité publique exigé. |
La leçon dépasse le dopage : une donnée devient sensible par déduction. Un champ anodin, croisé avec un autre, peut faire entrer la publication dans le régime renforcé des données de santé. Le raisonnement se retrouve dans les autres arrêts de la CJUE sur les données personnelles.
Comment sécuriser une publication nominative ?
- Recenser les publications nominatives existantes : sanctions, exclusions, radiations, listes de manquements.
- Formaliser une mise en balance individuelle, réalisée et datée avant chaque publication.
- Borner la durée de mise en ligne sur la durée de la sanction, et programmer le retrait.
- Vérifier champ par champ si un détail publié révèle l’état de santé par déduction.
- Traiter les projets annoncés comme des traitements déjà exposés à une réclamation.
- Conserver la trace de l’arbitrage : c’est elle qui sera demandée, pas le texte fondateur.
Le point dur n’est pas la décision. C’est la preuve. Une mise en balance non tracée équivaut à une mise en balance non faite.
C’est exactement le trou que comble un registre vivant : DPO SUITE conserve chaque arbitrage daté, rattaché au traitement concerné, avec son échéance de retrait. Vous retrouvez la trace de la mise en balance le jour où l’autorité la demande, sans reconstituer six mois d’historique.
FAQ
L’arrêt C-474/24 concerne-t-il seulement le sport ?
Non. Le litige portait sur l’antidopage, mais la Cour raisonne sur le RGPD. Toute entité qui publie nominativement des sanctions est concernée : ordres professionnels, fédérations, établissements, autorités. Le principe de mise en balance individuelle avant publication vaut pour toutes.
Quels indices rendent une réclamation préventive recevable ?
La Cour exige des indices concrets d’une publication imminente ou proche. Une publication annoncée, programmée par un texte ou inscrite dans une procédure en cours suffit. Un traitement purement hypothétique, encore à l’état d’hypothèse de travail, ne suffit pas.
Faut-il refaire une mise en balance à chaque publication ?
Oui, la Cour exige un examen individuel. Un régime indifférencié appliqué à tous les cas ne répond pas à l’exigence. La méthode peut être standardisée, mais l’arbitrage doit porter sur la situation de chaque personne concernée et rester traçable.
Combien de temps peut-on laisser une sanction en ligne ?
Pas au delà de la durée d’application de la sanction. La Cour juge disproportionnée une publication nominative qui excèderait cette période, compte tenu de la gravité de l’ingérence dans la vie privée. La date de retrait se décide donc dès la mise en ligne.
La mention de la substance change-t-elle le régime applicable ?
Elle peut le changer. Si la substance ou la méthode interdite, combinée à d’autres informations, révèle même indirectement l’état de santé passé, présent ou futur, la publication traite des données de santé. Le régime de l’article 9 s’applique alors, avec ses garanties renforcées.
