Online platforms die voldoen aan verplichtingen uit de Digital Services Act (DSA), moeten daarnaast zelfstandig blijven beoordelen of de verwerking van persoonsgegevens aan de AVG voldoet. Dat benadrukt de European Data Protection Board (EDPB) in definitieve richtsnoeren over de samenloop tussen beide verordeningen. Vooral voor aanbevelingssystemen, profilering, online advertenties en leeftijdscontrole maakt de toezichthouder concreet wat dit in de praktijk betekent.
De EDPB stelde de definitieve versie van de richtsnoeren op 17 september vast, na een openbare consultatie over een eerdere versie uit 2025. De definitieve tekst en een overzicht van de consultatiereacties zijn inmiddels gepubliceerd. Het zijn de eerste EDPB-richtsnoeren die specifiek ingaan op de verhouding tussen de AVG en een van de nieuwere Europese digitale wetten.
De kern is dat de DSA en de AVG naast elkaar gelden. De DSA bevat verschillende verplichtingen waarbij persoonsgegevens worden verwerkt, bijvoorbeeld bij het melden en verwijderen van illegale content, advertenties, aanbevelingssystemen en maatregelen om minderjarigen te beschermen. Dat een platform op grond van de DSA iets moet doen, betekent volgens de EDPB niet dat daarmee automatisch aan alle AVG-eisen is voldaan. Onder meer de beginselen van dataminimalisatie, transparantie en proportionaliteit blijven gelden.
Een belangrijk onderdeel betreft aanbevelingssystemen. Zeer grote online platforms en zoekmachines moeten op grond van artikel 38 DSA voor ieder aanbevelingssysteem ten minste één optie aanbieden die niet is gebaseerd op profilering.
Volgens de EDPB moet die keuze daadwerkelijk gevolgen hebben voor de verwerking van persoonsgegevens. Als een gebruiker kiest voor aanbevelingen zonder profilering, mag een platform niet ondertussen persoonsgegevens blijven verzamelen en verwerken om het profiel verder op te bouwen voor het moment waarop de gebruiker eventueel weer terugschakelt naar gepersonaliseerde aanbevelingen. De keuze moet bovendien worden gerespecteerd wanneer iemand de dienst afsluit en later opnieuw gebruikt.
Daarmee wordt de niet-geprofileerde optie meer dan alleen een andere manier waarop content op het scherm wordt gerangschikt. Ook de onderliggende gegevensverwerking moet veranderen.
Dat is praktisch relevant voor platforms die één omvangrijk gebruikersprofiel inzetten voor verschillende doeleinden. Zij moeten kunnen onderscheiden welke gegevens nodig zijn voor de actieve versie van het aanbevelingssysteem en welke verwerking uitsluitend plaatsvindt om gepersonaliseerde aanbevelingen mogelijk te maken.
De richtsnoeren veranderen overigens niets aan het uitgangspunt dat gepersonaliseerde aanbevelingssystemen op zichzelf niet door de DSA zijn verboden. De vraag is steeds welke verwerking van persoonsgegevens daarvoor plaatsvindt en welke regels uit beide verordeningen daarop van toepassing zijn.
Ook bij de bescherming van minderjarigen trekt de EDPB een duidelijke grens. Artikel 28 DSA verplicht online platforms die toegankelijk zijn voor minderjarigen passende en evenredige maatregelen te nemen om hun privacy, veiligheid en beveiliging te beschermen. Dat kan aanleiding geven om de leeftijd van gebruikers vast te stellen.
Volgens de EDPB mag die verplichting echter niet automatisch leiden tot het verzamelen van meer persoonsgegevens dan noodzakelijk. Als alleen hoeft te worden vastgesteld of iemand boven of onder een bepaalde leeftijdsgrens valt, hoeft bijvoorbeeld niet noodzakelijk de exacte geboortedatum te worden verwerkt. Platforms moeten bovendien voorkomen dat leeftijdscontrole leidt tot ondubbelzinnige online identificatie wanneer dat niet nodig is.
Artikel 28 DSA biedt volgens de richtsnoeren evenmin op zichzelf een rechtvaardiging om de leeftijd of leeftijdscategorie van een gebruiker permanent te bewaren. Voor verdere opslag moet afzonderlijk worden bekeken of daarvoor een passende grondslag bestaat en of die verwerking noodzakelijk en proportioneel is.
Die uitleg is extra actueel nu leeftijdscontrole steeds nadrukkelijker onderdeel wordt van het Europese beleid voor de bescherming van kinderen online. De Commissie werkt daarnaast aan Europese oplossingen waarmee gebruikers kunnen bewijzen dat zij aan een leeftijdsgrens voldoen zonder hun volledige identiteit bekend te maken.
De samenloop tussen beide wetten speelt ook bij de risicobeoordelingen die zeer grote platforms en zoekmachines onder de DSA moeten uitvoeren. Zij moeten periodiek onderzoeken welke systeemrisico’s hun diensten veroorzaken en maatregelen treffen om die risico’s te beperken.
Wanneer zo’n risico betrekking heeft op persoonsgegevens en waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van mensen, kan daarnaast een gegevensbeschermingseffectbeoordeling (DPIA) onder de AVG noodzakelijk zijn. De DSA-risicoanalyse vervangt een DPIA dus niet automatisch. Andersom kunnen maatregelen als gegevensbescherming door ontwerp en standaardinstellingen ook bijdragen aan het beperken van risico’s die onder de DSA moeten worden aangepakt.
Dat illustreert de bredere boodschap van de richtsnoeren. De Europese digitale regels moeten niet als afzonderlijke compliance-trajecten worden behandeld wanneer dezelfde gegevensverwerking door meerdere wetten wordt geraakt. Een aanbevelingssysteem kan tegelijkertijd onderwerp zijn van DSA-verplichtingen rond transparantie en gebruikerskeuze én van AVG-regels rond profilering, grondslagen en gegevensbescherming door ontwerp.
Ook het toezicht loopt daardoor door elkaar. De EDPB benadrukt dat gegevensbeschermingstoezichthouders, Digital Services Coordinators en de Europese Commissie moeten samenwerken wanneer een zaak bepalingen uit beide verordeningen raakt. Welke instantie bevoegd is, blijft afhangen van de regel waarop toezicht wordt gehouden.
Voor organisaties betekent dit vooral dat “de DSA verplicht ons dit te doen” niet het eindpunt van de privacyanalyse is. Zodra voor die verplichting persoonsgegevens worden verwerkt, blijven vragen over grondslag, noodzakelijkheid, dataminimalisatie, bewaartermijnen en de rechten van betrokkenen afzonderlijk relevant.
