L'autorité finlandaise de protection des données a adressé un avertissement et une injonction au Centre finlandais pour l'éthique dans le sport (SUEK) pour avoir publié des informations relatives à une sanction pour dopage à l'encontre d'un athlète après que la période d'interdiction de compétition était déjà terminée, ainsi que des données concernant une enquête en cours.

Faits et contexte

L'autorité finlandaise de protection des données a publié une décision à l'encontre du Centre finlandais pour l'éthique dans le sport (SUEK), comprenant le prononcé d'un avertissement, pour des manquements en lien avec la publication de données personnelles d'un athlète.

L'affaire trouve son origine dans la plainte d'un athlète et le signalement d'un tiers concernant les pratiques de publication du SUEK, notamment après une décision de la commission de discipline des affaires d'antidopage de janvier 2021.

Motifs de la décision

L'autorité a retenu deux manquements distincts liés à deux publications successives :

• Obligation de licéité, loyauté et proportionnalité : L'autorité a estimé que la publication d'informations sur la sanction de l'athlète, intervenue le jour même de la fin de sa période d'interdiction, était une mesure disproportionnée. Bien que le SUEK soit en principe autorisé à publier de telles sanctions en vertu de la réglementation antidopage, une appréciation au cas par cas est nécessaire. En l'espèce, la substance n'ayant pas amélioré les performances et l'interdiction volontaire de trois mois et demi étant déjà terminée, la publication n'avait plus d'objectif préventif et portait une atteinte excessive au droit à la vie privée de l'athlète, comme l'a clarifié la Cour de justice de l'Union européenne dans son arrêt C-474/24.
• Obligation de disposer d'une base juridique pour le traitement (article 6 du RGPD) : L'autorité a jugé que le SUEK n'avait aucune base juridique valable pour publier, en mars 2021, des données personnelles relatives à l'enquête en cours sur une éventuelle violation de l'interdiction volontaire par l'athlète. L'obligation de publication prévue par la réglementation antidopage ne s'applique qu'aux décisions finales et aux sanctions, et non aux enquêtes en cours.

Décision de l'autorité

En conséquence, l'autorité a adressé un avertissement au Centre finlandais pour l'éthique dans le sport (SUEK).

En outre, l'autorité a ordonné à l'organisme de mettre ses opérations de traitement de données personnelles en conformité avec la législation sur la protection des données.

Enseignements

Cette décision rappelle que :

• La publication d'une sanction disciplinaire, même si elle est prévue par une réglementation sectorielle, doit faire l'objet d'une analyse de proportionnalité au cas par cas, en tenant compte de l'atteinte à la vie privée de la personne.
• Publier le nom d'un athlète sur une liste de sanctions après l'expiration de la période d'interdiction constitue, en principe, une mesure disproportionnée par rapport à l'objectif visé.
• L'existence d'une base légale pour la publication de sanctions finalisées ne s'étend pas à la publication d'informations sur des enquêtes en cours, qui requiert sa propre base juridique.
• Les informations relatives à une infraction aux règles antidopage ne constituent pas systématiquement des données de santé, sauf si elles permettent de tirer des conclusions sur l'état de santé de la personne (par exemple, en cas d'usage pour des raisons médicales).