欧洲数据保护委员会《第3/2025号指南（终版，第2.0版）——关于〈数字服务法〉（DSA）与〈通用数据保护条例〉（GDPR）的相互作用》（2026年9月17日通过）
简称：EDPB 第3/2025号指南（DSA与GDPR相互作用·终版）
法规简介
欧洲数据保护委员会（EDPB）于2026年9月17日全体会议通过《第3/2025号指南》终版（第2.0版），明确《数字服务法》（DSA）与《通用数据保护条例》（GDPR）的协调适用规则，共41页。指南强调DSA不构成GDPR的特别法（lex specialis），两部同级欧盟立法应作兼容解释，且不得因此降低基本权利保护水平。核心内容包括：DSA第26条项下的广告透明度义务不能替代GDPR第13条「收集时告知」义务；DSA第26(3)条禁止使用特殊类别数据投放画像广告，与GDPR第9(1)条、第22(4)条互补；推荐系统可能构成GDPR第22(1)条意义上的「决定」，平台须平等呈现选项、不得诱导用户选择画像选项；DSA第28(1)(2)条未成年人在线保护措施在必要且相称时可构成GDPR第6(1)(c)条法律依据。
【文件性质】欧洲数据保护委员会（EDPB）《第3/2025号指南——关于〈数字服务法〉（DSA）与〈通用数据保护条例〉（GDPR）的相互作用》（Guidelines 3/2025 on the interplay between the DSA and the GDPR），第2.0版（终版），2026年9月17日经公开咨询后的通过版本，共41页；同步发布公开咨询意见报告。版本沿革：第1.0版2025年9月11日（公开咨询稿）；第1.1版2025年9月12日（执行摘要小幅更正）；第2.0版2026年9月17日（公开咨询后的通过版）。
【不构成特别法】指南明确：DSA既不构成GDPR的特别法（lex specialis），也不构成电子通信领域个人数据处理规则（ePrivacy指令）的特别法。然而，欧盟法院（CJEU）既有判例确认，当两项同等位阶的欧盟法律（如DSA与GDPR）未确立优先关系时，应以兼容方式适用，从而实现一致适用。
【监管机构的注意义务】数据保护监管机构在监督同时构成DSA中介服务提供者的控制者与处理者时，须考虑DSA的相关规定（尤其是各类中介服务提供者义务），以确保在同时受GDPR与DSA覆盖的处理活动中兼容且一致地适用欧盟法；当DSA就中介服务提供者的个人数据处理施加了较GDPR本身更为严格的规则时，尤为如此。
【保护水平不得降低】EDPB强调个人数据保护基本权利在《基本权利宪章》与《欧盟运行条约》中的独特重要性，指出对DSA与GDPR作一致、协调解释不得导致降低隐私与数据保护基本权利的保护水平；同时个人数据保护权须结合其社会功能考量，并依比例原则与其他基本权利（尤其是DSA所保护者）相平衡。
【广告透明度：第26条DSA与第13条GDPR】DSA第26条项下提供的信息可能是在个人数据处理已经发生之后才提供，而GDPR第13条的透明度义务要求在「取得个人数据时」即提供信息。
【特殊类别数据：第26(3)条DSA与第9条、第22(4)条GDPR】DSA第26(3)条禁止使用特殊类别数据投放画像广告，与GDPR第9(1)条和第22(4)条的禁止规定互补，且即使在线平台提供者依据GDPR第6(1)条主张合法依据、并依第9(2)条主张例外，该禁止仍然适用。
【推荐系统】在线平台提供者可利用用户个人数据在推荐系统中个性化内容的排序或显著度。推荐系统在推断与组合个人数据的准确性与透明度方面引发关切，并伴随大规模和／或敏感个人数据处理的风险。EDPB指出，不能排除通过推荐系统向在线平台用户呈现特定内容可能构成GDPR第22(1)条意义上的「决定」，尤其是在该呈现对个人可能产生严重后果时。平台在向用户提供不同推荐系统选项时，应平等呈现各选项，不得诱导（nudge）用户选择基于画像的推荐系统，并应尊重用户选择；在非画像选项处于启用状态期间，平台不应继续收集与处理个人数据以对用户作画像。
【未成年人保护】EDPB欢迎DSA确保使用在线平台的未成年人获得高水平隐私、安全与保障的目标。指南承认DSA第28(1)条与第28(2)条在必要且相称的前提下可构成GDPR第6(1)(c)条项下的处理法律依据，但须由控制者举证证明。在线平台中未成年人的安全与保障是重大且日益突出的关切，须与尊重全体用户的隐私及个人数据保护相平衡。
【实务意义】本指南是DSA生效后EDPB首次系统厘清两部欧盟立法的适用边界，直接约束在线平台、超大型在线平台（VLOP）及数字广告生态中的画像与推荐系统设计。对于同时受GDPR与DSA监管的中国出海平台，指南的实际含义是：DSA合规不能替代GDPR合规，广告透明度、推荐系统选项设计、未成年人保护措施均须同时满足两部法律，且「不得诱导用户选择画像推荐」成为可被审查的具体设计要求。
【不构成特别法】指南明确：DSA既不构成GDPR的特别法（lex specialis），也不构成电子通信领域个人数据处理规则（ePrivacy指令）的特别法。然而，欧盟法院（CJEU）既有判例确认，当两项同等位阶的欧盟法律（如DSA与GDPR）未确立优先关系时，应以兼容方式适用，从而实现一致适用。
【监管机构的注意义务】数据保护监管机构在监督同时构成DSA中介服务提供者的控制者与处理者时，须考虑DSA的相关规定（尤其是各类中介服务提供者义务），以确保在同时受GDPR与DSA覆盖的处理活动中兼容且一致地适用欧盟法；当DSA就中介服务提供者的个人数据处理施加了较GDPR本身更为严格的规则时，尤为如此。
【保护水平不得降低】EDPB强调个人数据保护基本权利在《基本权利宪章》与《欧盟运行条约》中的独特重要性，指出对DSA与GDPR作一致、协调解释不得导致降低隐私与数据保护基本权利的保护水平；同时个人数据保护权须结合其社会功能考量，并依比例原则与其他基本权利（尤其是DSA所保护者）相平衡。
【广告透明度：第26条DSA与第13条GDPR】DSA第26条项下提供的信息可能是在个人数据处理已经发生之后才提供，而GDPR第13条的透明度义务要求在「取得个人数据时」即提供信息。
【特殊类别数据：第26(3)条DSA与第9条、第22(4)条GDPR】DSA第26(3)条禁止使用特殊类别数据投放画像广告，与GDPR第9(1)条和第22(4)条的禁止规定互补，且即使在线平台提供者依据GDPR第6(1)条主张合法依据、并依第9(2)条主张例外，该禁止仍然适用。
【推荐系统】在线平台提供者可利用用户个人数据在推荐系统中个性化内容的排序或显著度。推荐系统在推断与组合个人数据的准确性与透明度方面引发关切，并伴随大规模和／或敏感个人数据处理的风险。EDPB指出，不能排除通过推荐系统向在线平台用户呈现特定内容可能构成GDPR第22(1)条意义上的「决定」，尤其是在该呈现对个人可能产生严重后果时。平台在向用户提供不同推荐系统选项时，应平等呈现各选项，不得诱导（nudge）用户选择基于画像的推荐系统，并应尊重用户选择；在非画像选项处于启用状态期间，平台不应继续收集与处理个人数据以对用户作画像。
【未成年人保护】EDPB欢迎DSA确保使用在线平台的未成年人获得高水平隐私、安全与保障的目标。指南承认DSA第28(1)条与第28(2)条在必要且相称的前提下可构成GDPR第6(1)(c)条项下的处理法律依据，但须由控制者举证证明。在线平台中未成年人的安全与保障是重大且日益突出的关切，须与尊重全体用户的隐私及个人数据保护相平衡。
【实务意义】本指南是DSA生效后EDPB首次系统厘清两部欧盟立法的适用边界，直接约束在线平台、超大型在线平台（VLOP）及数字广告生态中的画像与推荐系统设计。对于同时受GDPR与DSA监管的中国出海平台，指南的实际含义是：DSA合规不能替代GDPR合规，广告透明度、推荐系统选项设计、未成年人保护措施均须同时满足两部法律，且「不得诱导用户选择画像推荐」成为可被审查的具体设计要求。
