Poiché – come chiarito dalle menzionate linee guida – l’applicazione di una normativa non esclude l’applicazione dell’altra, il tema diviene quello del coordinamento tra il GDPR e il DSA.
Con specifico riferimento alla pubblicità online – che è sicuramente uno degli aspetti in cui le due normative si intersecano – vengono così in rilievo sia gli adempimenti sanciti dagli artt. 13 e 14 GDPR (che regolano le informazioni da fornire agli interessati nel momento in cui vengono trattati i loro dati), sia le specifiche informazioni di trasparenza che ogni pubblicità mostrata attraverso una piattaforma online dovrà indicare, in ossequio all’art. 26 del DSA (i.e., (i) che l’informazione visualizzata costituisce una pubblicità, (ii) la persona fisica o giuridica per cui viene presentata la pubblicità o la differente persona fisica o giuridica che paga detta pubblicità; (iii) informazioni rilevanti e accessibili dalla pubblicità stessa relative ai parametri utilizzati per determinare il destinatario a cui viene presentata tale pubblicità).
In tal senso, le Linee Guida n. 3/2025 dell’EDPB chiariscono che:
- le informazioni di cui all’art. 26 del DSA devono essere fornite all’utente in tempo reale e devono essere direttamente accessibili dalla pubblicità; invece, le informazioni di cui agli artt. 13 e 14 del GDPR possono essere fornite tramite una privacy policy;
- mentre gli adempimenti di cui al GDPR, nel caso di dati personali raccolti direttamente presso l’interessato, devono essere svolti al momento dell’ottenimento dei dati personali, prima del trattamento, gli adempimenti di cui al DSA possono anche essere svolti dopo che i dati personali sono stati trattati;
- mentre il trattamento dei dati personali ai sensi del GDPR presuppone una valida e legittima base giuridica, gli obblighi di cui al DSA trovano applicazione a prescindere dalla base giuridica per il trattamento dei dati personali di cui al GDPR, e l’adempimento dei relativi obblighi non costituisce, di per sé, una valida base giuridica;
- in caso di trattamenti automatizzati, il GDPR impone alcuni obblighi informativi all’interessato; queste informazioni potrebbero già coprire – seppure parzialmente – quelle da fornire ai sensi del DSA (e.g., i principali parametri di profilazione), che, dunque, nonostante l’informativa già resa ai sensi del GDPR, ben dovranno essere integrate in ossequio al DSA;
- l’attività di profilazione sulla scorta di categorie particolari di dati personali, pur consentita dal GDPR, è proibita dal DSA; pertanto, detta attività non potrà essere svolta nel contesto applicativo del DSA nonostante, ad esempio, l’eventuale consenso dell’interessato raccolto ai sensi del GDPR.
Alla luce di quanto precede, gli operatori soggetti al DSA dovrebbero, con il supporto delle Linee Guida n. 3/2025 dell’EDPB, verificare il corretto coordinamento tra gli adempimenti previsti dal DSA e le previsioni di cui al GDPR.
Vorremmo ringraziare Camilla Ceresani per il suo contributo a questo articolo.
