Vad som har hänt
Den 21 september 2026 antog Europeiska dataskyddsstyrelsen (EDPB), organet som samordnar EU:s 27 nationella dataskyddsmyndigheter, den slutgiltiga versionen av Riktlinjer 3/2025 om samspelet mellan dataskyddsförordningen (GDPR) och förordningen om digitala tjänster (DSA). Styrelsen publicerade riktlinjerna som utkast redan den 12 september 2025 och höll ett offentligt samråd som avslutades den 31 oktober 2025, där företag, branschorganisationer, civilsamhällesorganisationer och nationella myndigheter i hela EU lämnade synpunkter. Den slutliga texten besvarar en fråga som länge legat obesvarad hos många jurister: när DSA kräver att en onlineplattform gör något, gäller GDPR ändå parallellt, och i så fall hur passar de två ihop?
Riktlinjerna går igenom fem punkter där de två regelverken möts. Mekanismer för anmälan och åtgärder enligt DSA artikel 16, funktionen där användare ska kunna anmäla olagligt innehåll, utgör behandling av personuppgifter så snart en anmälan pekar ut en person, vilket innebär att GDPR:s vanliga regler om rättslig grund, uppgiftsminimering och lagringstid gäller för själva anmälningarna, inte bara för det innehåll som anmäls. Rekommendationssystem, algoritmerna som avgör vad en användare ser först, utlöser GDPR-skyldigheter så snart de använder personuppgifter för att anpassa rangordningen, utöver DSA:s separata krav enligt artikel 27 att förklara huvudparametrarna i klartext. Reglerna om annonsering på onlineplattformar i DSA artikel 26 ersätter inte GDPR:s regler om samtycke och berättigat intresse för riktad annonsering; de gäller sida vid sida. Och DSA:s förbud mot att visa minderåriga annonser baserade på profilering, tillsammans med förbudet mot att använda särskilda kategorier av personuppgifter, till exempel om hälsa, religion eller sexuell läggning, för att rikta annonser mot någon användare, bygger båda på GDPR:s egna definitioner av profilering och särskilda kategorier av personuppgifter för att fungera överhuvudtaget.
Varför det spelar roll för fler än jättarna
Det här är ingen regel skriven bara för ett fåtal kända namn. Skyldigheterna som beskrivs här, anmälan och åtgärder, transparens i rekommendationssystem och annonseringsregler, gäller varje leverantör av en onlineplattform i EU, inte bara de mycket stora plattformar och sökmotorer som EU-kommissionen pekar ut en och en. En svensk marknadsplats med några tusen månatliga användare, en SaaS-produkt med en offentlig recensions- eller kommentarsfunktion, eller en abonnemangsapp med ett personanpassat innehållsflöde omfattas redan av åtminstone kraven på anmälan och åtgärder samt transparens i rekommendationssystem. Fram tills nu har många mindre företag drivit sitt DSA-arbete och sitt GDPR-arbete som två separata projekt, ofta ägda av olika personer, produkt på ena sidan och juridik på den andra. Riktlinjerna slår fast att den uppdelningen inte håller: ett rekommendationssystem som byggts utan en korrekt rättslig grund enligt GDPR är nu även ett DSA-problem, eftersom DSA:s transparenskrav förutsätter att den underliggande databehandlingen var laglig från början.
Tänk dig en svensk marknadsplats som kopplar samman frilansande hantverkare med husägare. Den har redan en anmälningsknapp för falska annonser, sin mekanism för anmälan och åtgärder, och ett “rekommenderat för dig”-flöde som byggdes av en konsult för två år sedan, innan någon tänkte på DSA-efterlevnad. Enligt de nya riktlinjerna måste den som ansvarar för dataskydd i företaget, ofta samma person som ansvarar för DSA-efterlevnaden i ett företag av den här storleken, nu dokumentera en rättslig grund för profileringen bakom flödet, inte bara beskriva i klartext hur det rangordnar annonser. Om flödet använder plats eller köphistorik utan en tydlig rättslig grund innebär den obligatoriska transparensbeskrivningen i praktiken att man beskriver en olaglig behandling, vilket är sämre än att inte lämna någon beskrivning alls.
En andra, mindre färdig utveckling att bevaka
Samma dag publicerade EDPB även ett utkast, Riktlinjer 04/2026 om administrativa sanktionsavgifter och andra korrigerande befogenheter enligt GDPR, öppet för samråd till den 13 november 2026 och ännu inte färdigt. Utkastet beskriver fem steg som en tillsynsmyndighet ska gå igenom: kan överträdelsen leda till en sanktionsavgift enligt GDPR eller nationell rätt; vilken part, personuppgiftsansvarig eller personuppgiftsbiträde, har faktiskt begått överträdelsen; skedde överträdelsen uppsåtligen eller av oaktsamhet, eftersom skuld är en förutsättning för varje sanktionsavgift; hur allvarlig är den och vilka försvårande eller förmildrande omständigheter finns, med beaktande av att mindre allvarliga överträdelser talar för en reprimand snarare än en sanktionsavgift medan mer allvarliga överträdelser skapar vad EDPB kallar “en stark presumtion för att en sanktionsavgift bör åläggas”; och slutligen, skulle en sanktionsavgift faktiskt vara effektiv, proportionell och avskräckande i det aktuella fallet. Utkastet beskriver även mildare verktyg som kan användas i stället för en sanktionsavgift: varningar, reprimander, förelägganden, begränsningar av behandlingen och återkallande av certifiering. EDPB:s vice ordförande Jelena Virant Burnik kallade det “ett viktigt steg mot att ytterligare samordna hur dataskyddsmyndigheter beslutar om en administrativ sanktionsavgift bör åläggas.” Utkastet visar vart de 27 myndigheterna vill att tillsynen ska gå, och är värt att läsa om företaget någon gång fått ett GDPR-klagomål mot sig, men ingenting i det är bindande än.
Från när
Riktlinjerna om samspelet mellan DSA och GDPR är formellt antagna och genomgår nu EDPB:s vanliga språkgranskning innan den slutliga texten publiceras på samtliga EU-språk, så det exakta publiceringsdatumet på styrelsens webbplats kan komma en tid efter antagandedatumet. Det finns ingen separat övergångsperiod kopplad till riktlinjerna själva, eftersom de tolkar skyldigheter som redan gäller: DSA:s allmänna regler om anmälan och åtgärder, transparens i rekommendationssystem och annonsering, de som behandlas här, har gällt för onlineplattformar sedan den 17 februari 2024. Riktlinjer 04/2026 om sanktionsavgifter har däremot inget tillämpningsdatum alls ännu, eftersom det fortfarande är öppet för synpunkter till den 13 november 2026.
Vad ni bör göra
Börja med att kartlägga vilka av de fem områdena som berör er plattform. Kontrollera om ni har någon funktion för användarrapportering eller flaggning, något personanpassat flöde eller någon rangordning, eller någon riktad annonsering, och behandla var och en som en gemensam DSA- och GDPR-fråga snarare än något som bara ägs av ett team. Där ett rekommendationssystem eller riktad annonsering bygger på personuppgifter, se till att ha en dokumenterad rättslig grund på plats, korrekt inhämtat samtycke eller en intresseavvägning för berättigat intresse med en verklig avvägning dokumenterad, innan ni förlitar er på DSA:s egen transparensskrivning för att beskriva den offentligt. Kontrollera er annonsering mot de två absoluta förbuden: ingen profileringsbaserad annonsering visad för någon under 18 år, och ingen annonsering baserad på särskilda kategorier av personuppgifter visad för någon alls, oavsett samtycke. Se över vem i företaget som äger anmälningarna om anmälan och åtgärder internt, eftersom en anmälan som pekar ut en person är en personuppgift i sig, så lagringstid och åtkomstkontroller måste stämma överens med er allmänna GDPR-policy i stället för att stå utanför den. Läs slutligen igenom samrådet om Riktlinjer 04/2026 även om det inte är färdigt, eftersom det är värdefullt att förstå hur en tillsynsmyndighets resonemang sannolikt kommer att se ut om ett år, utan att behandla något av det som gällande rätt redan nu.
Slutsats
De stora DSA-rubrikerna sedan lagen trädde i kraft har mest handlat om en handfull mycket stora plattformar. Veckans besked är en påminnelse om att de flesta av DSA:s löpande skyldigheter skrevs för varje onlineplattform som är verksam i EU, och att dataskyddsmyndigheterna nu avser att behandla DSA och GDPR som en enda sammanhängande efterlevnadsfråga snarare än två separata. Lawgent hjälper företag att kartlägga sina DSA- och GDPR-skyldigheter tillsammans och bygga den dokumentation som håller för båda regelverken samtidigt.
Detta är allmän information, inte juridisk rådgivning för er specifika situation.
