L’EDPB ha pubblicato le Linee guida 3/2025 sull’interazione DSA e GDPR, ora in consultazione pubblica fino al 31 ottobre 2025. L’obiettivo è garantire un’applicazione coerente dei due pilastri del mercato digitale europeo: tutela dei dati personali (GDPR) e ecosistema online sicuro e trasparente (DSA, ovvero il Digital Services Act). Per DPO, legali e provider di piattaforme il messaggio è chiaro: gli obblighi DSA spesso comportano trattamenti di dati e vanno progettati e documentati secondo il GDPR. 

–> “Linee guida EDPB 3/2025 sull’interazione DSA–GDPR (consultazione fino al 31/10/2025)” – pagina ufficiale EDPB. EDPB

Interazione DSA e GDPR: obiettivi diversi, applicazione coerente

Le Linee guida ribadiscono che il DSA non deroga al GDPR: i due regolamenti operano in parallelo e devono essere applicati in modo compatibile, evitando riduzioni del livello di protezione. Ne consegue che gli adempimenti DSA (es. moderazione dei contenuti, gestione dei reclami, trasparenza degli ads) devono essere mappati e giustificati anche ai sensi del GDPR (basi giuridiche, minimizzazione, accountability).

Interazione DSA e GDPR: Contenuti illeciti e “indagini volontarie”

Quando le piattaforme svolgono attività volontarie per individuare/rimuovere contenuti illegali (es. sistemi ML anti-abuso), la base giuridica tipica è l’interesse legittimo (art. 6.1.f GDPR), previo balancing test e valutazione di soluzioni meno invasive. Se l’attività deriva da un obbligo legale (ordini delle autorità, copyright), la base diventa art. 6.1.c. Se sussistono decisioni completamente automatizzate con effetti significativi, si attiva il divieto/garanzie dell’art. 22 GDPR.

Interazione DSA e GDPR: Notice-and-action e reclami interni

I sistemi DSA di segnalazione raccolgono dati del segnalante e del segnalato: l’identificazione del segnalante dovrebbe restare facoltativa, salvo casi necessari (es. IP enforcement). L’eventuale comunicazione dei suoi dati al destinatario va limitata al necessario e pre-informata. I reclami interni e le sospensioni per abusi vanno gestiti con supervisione umana, garantendo trasparenza, accuratezza e minimizzazione.

Interazione DSA e GDPR: Dark pattern e interfacce ingannevoli

Il DSA vieta i dark pattern; l’EDPB chiarisce quando queste pratiche ricadono anche nel GDPR: se il design induce l’utente a fornire dati personali non necessari o a dare consensi non liberi, si applicano i principi di liceità e trasparenza (art. 5 GDPR) e le regole su consenso valido. Restano comunque vietate dal DSA le interfacce manipolative anche quando non si toccano dati personali.

Interazione DSA e GDPR: Pubblicità e profilazione

Il DSA impone trasparenza sugli annunci e limiti al targeting, in particolare vietando la profilazione basata su categorie particolari di dati e restringendo gli ads per minori. L’EDPB ricorda che la profilazione derivata (es. inferenze su credo religioso da geolocalizzazione o acquisti) può coinvolgere dati speciali e richiede basi giuridiche robuste e tutele rafforzate.

Interazione DSA e GDPR: Tutela dei minori: età, minimizzazione, privacy by design

Per minori, il DSA richiede elevate tutele: niente ads basati su profilazione quando la piattaforma ha ragionevole certezza dell’età. L’EDPB indica che la verifica dell’età deve essere proporzionata e minimizzare i dati; spesso bastano metodi low-inference (es. conferma dell’età con escalation solo in caso di dubbio). Fondamentali PETs, pseudonimizzazione e crittografia, specie sulle VLOP, tenute a valutazioni del rischio e misure specifiche per minori.

Interazione DSA e GDPR: Rischi sistemici e DPIA

Per VLOP e grandi motori di ricerca, la gestione dei rischi sistemici (disinformazione, sicurezza, diritti fondamentali) si intreccia con la protezione dati: in molti casi l’EDPB indica come probabile l’obbligo di una DPIA (art. 35 GDPR), con possibile consultazione preventiva dell’autorità se restano rischi elevati.

La decisione del Tribunale UE sulle supervisory fees DSA

Sul fronte enforcement, il Tribunale dell’UE ha annullato le decisioni della Commissione che fissavano le supervisory fees DSA 2023 (casi T-55/24 Meta e T-58/24 TikTok), ritenendo che la metodologia dovesse essere adottata con atto delegato. Gli effetti restano provvisoriamente mantenuti e l’UE ha 12 mesi per riformulare le regole di calcolo: un passaggio che incide sulla governance e sulla trasparenza del DSA.

Cooperazione tra autorità

Le Linee guida spingono una cooperazione strutturale tra Digital Services Coordinators, Commissione e autorità privacy nazionali, compreso il coinvolgimento dei DPA nella definizione di codici di condotta DSA dove pertinente. Obiettivo: evitare conflitti interpretativi e doppi binari sanzionatori, assicurando coerenza tra DSA e GDPR.

Cosa devono fare ora piattaforme e DPO (checklist operativa)

• Mappare i trattamenti legati a obblighi DSA (notice-and-action, trasparenza ads, segnalazioni, moderazione) e aggiornarne le basi giuridiche.
• Aggiornare le informative (art. 12-14 GDPR) con processi DSA, inclusi criteri di sospensione e reclamo.
• Eseguire/aggiornare la DPIA per sistemi algoritmici di moderazione e ranking; prevedere human-in-the-loopquando le decisioni impattano significativamente.
• Prevenire i dark pattern: design consent-friendly, granularità delle scelte, pari evidenza tra “Accetta” e “Rifiuta”.
• Tutela minori by design: stima età proporzionata, ads restrittivi, logica minimizzazione dati.
• Governance e audit: definire ruoli tra DPO, CISO, Product e Legal, con audit periodici e prova dell’accountability.

Conclusioni

Le Linee guida EDPB 3/2025 segnano un punto di svolta: DSA e GDPR convergono su un terreno operativo dove moderazione dei contenuti, pubblicità, interfacce, tutela minori e rischi sistemici richiedono privacy by design, trasparenza e documentazione rigorosa. Per piattaforme e DPO è il momento di integrare governance dati e compliance DSA–GDPR in un unico, solido programma.

✅ Call to action – P.I. Computers

Vuoi allineare DSA e GDPR in modo concreto (moderazione, ads, minori, DPIA, dark pattern)?
👉 Parla con P.I. Computers: audit DSA–GDPR e roadmap di adeguamento per interazione DSA e GDPR