מועצת הרשויות הלאומיות להגנת מידע במדינות האיחוד האירופי (European Data Protection Board – EDPB) אימצה את הגרסה המעודכנת של הקווים המנחים בדבר הממשק בין חוק השירותים הדיגיטליים (DSA) ל-GDPR, בעקבות הערות הציבור לטיוטה הראשונה. המסמך לא מתיימר לפרש את ה‑DSA עצמו אלא מבהיר כיצד על ספקי שירותי תיווך ליישם את דיני הגנת המידע כשהם מעבדים מידע אישי בהקשרים שה-DSA מסדיר.

ההנחיה מורה שנקודת המוצא היא ששני החיקוקים חותרים לתכליות שונות אך משלימות. ה-DSA אינו חורג, כדין ספציפי, מכללי הגנת המידע הכלליים ומהסדרי הפרטיות בתחום התקשורת האלקטרונית. אך משני חיקוקים בדרג נורמטיבי זהה נדרש יישום תואם וקוהרנטי. רשויות הגנת המידע נדרשות להביא בחשבון את חובות ה-DSA במיוחד כשאלה מחמירות מדיני הגנת המידע, אך פרשנות הרמונית לא יכולה להוריד את רמת ההגנה על הזכויות לפרטיות ולהגנת מידע.

באשר לחקירות עצמאיות שמבצעים ארגונים הכפופים ל-DSA כדי לאתר תוכן בלתי חוקי, מובהר מתי עילת החובה החוקית או עילת האינטרס הלגיטימי עשויות לשמש בסיס לעיבוד. במנגנוני הודעה ופעולה יש לאסוף רק מידע נדרש, והמנגנון להודעה יאפשר — אך לא יחייב — את זיהוי המודיע, אלא אם הזיהוי חיוני לקביעה שהתוכן בלתי חוקי. עיבוד פרטים מזהים לצורך מניעת שימוש לרעה בפלטפורמה הכפופה ל-DSA אפשרי לפי עילת האינטרס הלגיטימי, וכאשר נחשפת זהות המודיע (המתלונן) בפני הגורם שעליו התלונה, יש לעדכן את המתלונן, בהתחשב בכך שמנגנון התלונות והשעיית חשבונות לא גורעים מזכויות נושאי המידע. האיסור ב-DSA על פרסום מבוסס פרופיילינג של המשתמש הנשען על קטגוריות מידע רגישות משלים את האיסורים שבדיני הגנת המידע, וחל גם כשקיימים בסיס חוקי וחריג מתאימים.

בפלטפורמות המציעות מערכות המלצה לא ניתן לשלול א-פריורית שהצגת תוכן תיחשב החלטה אוטומטית בעלת השלכות משמעותיות על היחיד, לכן יש להציג את החלופות באופן שוויוני, בלי הכוונה המבוססת על פרופיילינג, ולכבד את בחירת המשתמש — לרבות הפסקת איסוף המידע לצורכי פרופיילינג. בהגנה על קטינים, חובות ה-DSA עשויות להוות בסיס חוקי בכפוף להכרחיות העיבוד למטרה זו ומידתיות, אך יש להימנע ממנגנוני אימות גיל המאפשרים זיהוי חד‑משמעי או שמירה קבועה של הגיל. בהערכת סיכונים מערכתיים והפחתתם, יש ליישם מזעור מידע ועיצוב לפרטיות.