Digital Services Act (DSA) og Digital Markets Act (DMA) er EU-forskrifter som setter nye, obligatoriske regler for leverandører av nettbaserte tjenester og kraftige «portvokter»-plattformer for å holde brukerne trygge og markedene rettferdige. Selv om de ble utarbeidet i Brussel, er rekkevidden deres global: ethvert selskap som retter seg mot EU-brukere må overholde reglene, ellers risikerer de bøter på opptil 6 % – og for gjentatte portvoktere 20 % – av den globale omsetningen. Med full håndheving allerede i gang for DSA og de første DMA-samsvarsrapportene som skal leveres innen få måneder, har styrer og produktteam liten tid til å finne ut hvilke endringer som kreves.

Denne veiledningen skjærer gjennom den juridiske sjargongen. Du får klare definisjoner, side-om-side-sammenligninger, viktige datoer og en trinnvis sjekkliste som oversetter lovpålagte artikler til praktiske handlinger for tekniske, juridiske og compliance-ansatte. Bla videre for å se hvordan det nye regelverket påvirker virksomheten din – og hva du skal gjøre videre.

EUs nye digitale regelverk – et overblikk

Brussel skrev ikke loven om digitale tjenester (DSA) og loven om digitale markeder (DMA) isolert. Sammen forankrer de en bredere reformpakke som er ment å starte EUs nettøkonomi på nytt etter to tiår med løpsk plattformmakt og lappeteppehåndhevelse.

Hvorfor EU innførte DSA og DMA

• Big Techs dominans avdekket blinde flekker i konkurranseretten: engangs antitrustsaker tok år, mens portvokterne fortsatte å skalere opp.
• Ulovlig innhold (terrorpropaganda, forfalskede varer) flyter sømløst over landegrenser, og e-handelsdirektivet fra 2000 tilbød lite mer enn varsling og fjerning.
• Politikere ønsket å styrke grunnleggende rettigheter – tenk ytringsfrihet og forbrukervern – uten å tvinge frem generell overvåking.
• Politisk sett blir de to forskriftene sett på som ryggraden i et pålitelig digitalt indre marked som kan konkurrere med USA og Kina.

Plassering innenfor EUs bredere digitale strategi

DSA og DMA ligger ved siden av, ikke oppå, andre flaggskipakter:

• GDPR → personopplysninger
• NIS2 → nettsikkerhet
• Dataloven → industriell datadeling
• AI-loven → høyrisikoalgoritmer
• Direktivet om plattformarbeid → rettigheter for gig-arbeidere

Hver lov tar for seg et ulikt risikoområde; håndhevingen deles mellom nasjonale regulatorer og EU-kommisjonen for å unngå overlapping samtidig som det muliggjør felles etterforskning.

Overordnede mål og prinsipper

Samlet sett styrker DSA innholdsstyringen, mens DMA holder markedene konkurransedyktige – en en-to-effekt som rebalanserer de digitale spillefeltet.

Lov om digitale tjenester (DSA): Omfang, mål og kjerneforpliktelser

DSA omskriver strategien for alt som formidler, er vert for eller kuraterer innhold på nettet. Det veiledende målet er tydelig: å holde brukerne trygge samtidig som det bevarer et åpent marked for ideer og varer. For å gjøre det, legger forskriften forpliktelser etter tjenestetype – lett for nettverksrør, tungt for giganter hvis algoritmer former den offentlige debatten. Fordi den gjelder når EU-brukere blir «målrettet», rammer regelen globale SaaS-leverandører og dropshipping-vedlikehold like sikkert som de kjente navnene.

Hvem må overholde

• Rene kanaltjenester (ISP, CDN), mellomlagringsleverandører, hostingtjenester og «nettplattformer» som setter bruker- og tredjepartsinnhold foran andre, faller alle inn under virkeområdet.
• Et spesielt nivå – svært store nettplattformer (VLOP-er) og svært store nettsøkemotorer (VLOSE-er) – starter på 45 millioner månedlige EU-brukere.
• Sted er irrelevant: enhver leverandør som tilbyr tjenester til EU eller overvåker brukeratferd i EU, må utnevne en juridisk representant i EU.

Grunnleggende plikter for alle mellommenn

• Opprett brukervennlige «varslings- og handlingskanaler» slik at alle kan flagge ulovlig innhold.
• Publiser årlige åpenhetsrapporter med detaljer om modereringsbeslutninger, pålegg fra myndigheter og bruk av automatiserte verktøy.
• Oppretthold ett enkelt kontaktpunkt for brukere og regulatorer.
• Samarbeid raskt med nasjonale domstoler og koordinatorer for digitale tjenester.

Tilleggsregler for nettplattformer

• Bekreft handelsmenn – «Kjenn din bedriftskunde» – før du lar dem selge til forbrukere.
• Tilby interne klagemekanismer og tilgang til sertifisert utenrettslig tvisteløsning.
• Merk hver annonse i sanntid, oppgi viktige målrettingsparametere og forby annonser basert på sensitive data eller rettet mot mindreårige uten strenge sikkerhetstiltak.

VLOP/VLOSE-forpliktelser

• Utføre – og publisere – årlige systemiske risikovurderinger som dekker desinformasjon, valgintegritet og barns sikkerhet.
• Implementer tiltaksplaner som overvåkes av en uavhengig compliance-ansvarlig og er underlagt eksterne revisjoner.
• Vedlikehold offentlige annonsearkiv med søkbare API-er slik at forskere kan granske politisk og saksbasert reklame.
• Implementer kriseprotokoller når hendelser som pandemier eller kriger øker risikoen på nettet.

Ansvar og Safe Harbor-nyanser

DSA bevarer den klassiske safe harbor-prinsippet: intet ansvar dersom leverandøren mangler «faktisk kunnskap» om ulovlighet (Article 4). Men listen heves når en troverdig melding kommer – hvis du stopper opp, mister du immuniteten. Det er viktig å merke seg at loven avviser generell overvåking, men i stedet innfører en «aktsomhetsplikt» som er kalibrert til plattformstørrelse. Eksempel: en markedsplass som raskt fjerner en flagget forfalsket pose, beholder skjoldet sitt; en som ignorerer gjentatte varsler, kan bli ilagt både fjerningsordrer og bøter på opptil 6 % av den globale omsetningen.

Digital Markets Act (DMA): Omfang, mål og kjerneforpliktelser

Der DSA styrer innhold, tar DMA for seg markedsmakt. Det er en forhåndsbestemt konkurranseregelbok som forhåndsdefinerer hvordan en håndfull «portvokter»-plattformer må oppføre seg, slik at mindre bedrifter fortsatt kan nå kunder, innovere og tjene penger på tilbudene sine. Bøtene er svimlende høye – opptil 10 % av den globale omsetningen (20 % for gjentatte lovbrytere) – så det er avgjørende å vite om du er, eller er avhengig av, en portvokter.

Definere «portvoktere»

En leverandør antas å være en portvokter når den tilbyr en kjerneplattformtjeneste og oppfyller alle tre kvantitative terskler:

• 7.5 milliarder euro i omsetning i EØS (siste tre år) or Markedsverdi på 75 milliarder euro
• Minst 45 millioner månedlige aktive sluttbrukere i EU
• Minst 10 000 aktive årlig forretningsbrukere

Kjerneplattformtjenester inkluderer søkemotorer, sosiale nettverk, operativsystemer, nettbaserte markedsplasser, appbutikker, annonsetjenester, nettlesere, stemmeassistenter og skytjenester.
Kommisjonen kan fortsatt stemple et selskap som en portvokter via en kvalitativ test – «forankret og varig» markedsmakt – mens firmaer kan motbevise betegnelsen hvis de beviser mangel på slik makt.

Forpliktelser portvakter må utføre

Portvakter må, innen seks måneder etter utnevnelse:

• La sluttbrukere avinstallere forhåndsinstallerte apper og enkelt endre standardinnstillinger.
• Aktiver dataportabilitet i sanntid og gi forretningsbrukere tilgang til ytelsesmålinger.
• Sørg for interoperabilitet mellom grunnleggende meldingsfunksjoner (tekst, tale, video).
• Gi annonsører og utgivere transparent prising for hver annonsevisning og tilby avstemmingsverktøy.
• Bruk FRAND-baserte vilkår for tilgang til appbutikker, betalingstjenester og søkerangeringsdata.

Praksis strengt forbudt

• Selvpreferanse av sine egne produkter eller tjenester i rangeringer eller resultater.
• Å låse fast forretningsbrukere gjennom antistyringsklausuler eller pakke med «må-ta»-tjenester.
• Gjenbruk av personopplysninger samlet inn fra én tjeneste til en annen uten eksplisitt GDPR samtykke.
• Begrense tredjepartsutvikleres bruk av eksterne betalings- eller identitetsløsninger.

Samsvarsprosess og rapportering

Den formelle flyten er: utpekingsvarsel → seks måneders implementeringstid → omfattende samsvarsrapport. Portvoktere må utnevne en uavhengig samsvarsansvarlig, gjennomgå årlige revisjoner, drive en varslingskanal for forretningsbrukere og føre detaljerte logger over tiltak som er iverksatt. Manglende samsvar kan utløse periodiske gebyrer på 5 % daglig omsetning og, i siste instans, strukturelle tiltak som avhending.

Samspill med konkurranseretten

DMA-avtalen står sammen med artikkel 101/102 i TEUF. Den erstatter ikke individuelle antitrustsøksmål; i stedet gir den klare forhåndsregler som håndheves sentralt av Kommisjonens DMA-arbeidsgruppe, mens nasjonale konkurransemyndigheter bistår med bevisinnsamling og overvåking. Sammen har de som mål å garantere konkurransedyktige og rettferdige digitale markeder i hele EU.

DSA vs. DMA: Sammenligning side om side

Begge lovene stammer fra den samme Brussel-strategien, men de tar for seg forskjellige problemer. Digital Services Act (DSA) regulerer hvordan innhold flyter og modereres; Digital Markets Act (DMA) regulerer den økonomiske makten til en håndfull «portvokter»-plattformer. Matrisen nedenfor fremhever de viktigste skillelinjene du må vite når du kartlegger samsvarsplikter.

Formål og kjernefokus

• DSA: Brukersikkerhet, åpenhet og ansvarlighet i innholdsstyring.
• DMA: Konkurransedyktige og rettferdige digitale markeder ved å begrense portvokternes egenhandel.

Enheter som dekkes

• DSA: Alle nettbaserte mellomledd – fra hobbyforum til CDN – med ekstra lag for VLOP-er/VLOSE-er.
• DMA: Kun selskaper utpekt som portvoktere som tilbyr kjerneplattformtjenester.

Tilsynsorganer og fullmakter

• DSA: Nasjonale koordinatorer for digitale tjenester pluss et EU-styre; myndighet til å beordre fjerning og revisjoner.
• DMA: Europakommisjonens DMA-arbeidsgruppe; kan gjennomføre razziaer umiddelbart og ilegge strukturelle tiltak.

Tidslinjer og tidsfrister

• DSA: Fullt gjeldende siden 17. februar 2024; løpende årlige plikter for VLOP-er.
• DMA: Utpeking av portvakt utløser en seks måneders frist for å overholde kravene og sende inn den første rapporten.

Straff og håndhevingsverktøy

• DSA: Bøter på opptil 6 % av global omsetning, 1 % per dag for forsinkelser, tjenestesuspensjon på grunn av systemisk risiko.
• DMA: Bøter på opptil 10 % (20 % gjentakelse) og i siste instans tvangsavhending.

Forventet innvirkning på små og mellomstore bedrifter og forbrukere

• SMB: Mer tilgang til plattformdata og mer rettferdig rangering, men nytt papirarbeid for selgerverifisering under DSA.
• forbrukere: Færre svindel og ugjennomsiktige rangeringer, større kontroll over data og standardapper – en vinn-vinn-situasjon når begge deler fungerer sammen.

Hvem må overholde regelverket, og hvordan gjøre seg klar

Selv om logoen din aldri har prydet Brussel, kan loven om digitale tjenester (DSA) og loven om digitale markeder (DMA) fortsatt havne på skrivebordet ditt. Begge reglene avhenger av hva du gjør på nettet, ikke hvor du er registrert. En tydelig eksponeringssjekk, etterfulgt av en kort, iterativ prosjektplan, holder arbeidsmengden håndterbar og revisorene fornøyde.

Kartlegging av eksponering etter forretningsmodell

Ikke-EU-firmaer som retter seg mot EU-brukere må også utnevne en juridisk representant i EU – ingen unntak.

Steg-for-steg-plan for samsvar

1. Lagre en inventaris over alle tjenester, dataflyter og brukerkontaktpunkter.
2. Utnevne en ledende eier, fordel budsjett, sett en tidslinje på seks måneder.
3. Kjør en gapanalyse mot DSAs grunnleggende plikter og, hvis relevant, DMAs gatekeeper-vedlegg.
4. Utarbeide eller oppdatere vilkår og betingelser, annonseetiketter og interne retningslinjer for klager.
5. Opplær ansatte, implementer tekniske verktøy og planlegg den første åpenhetsrapporten.

Styring, dokumentasjon og rapportering

Oppbevar en aktiv dossier som inneholder:

• Årlige åpenhetsrapporter og systemiske risikovurderinger
• Mottatte varsler og tidsstempler for handlinger
• Algoritmeendringslogger og revisjonssertifikater
• Rapporter om samsvar med portvakter (hvis utpekt)

Sjekkliste for tekniske og organisatoriske kontroller

• Brukerflaggingsdashbord med 24-timers SLA
• Moduler for alders- og selgerverifisering
• API for dataportabilitet (JSON/CSV-eksport)
• Separat annonselager med offentlig søkeendepunkt
• Krisehåndteringsstrategi knyttet til vaktingeniører

Budsjettering og ressursplanlegging

SMB-er setter vanligvis av 20 60–XNUMX XNUMX euro til juridisk utarbeidelse og verktøy; utpekte portvoktere bør forvente lave syvsifrede utgifter, hovedsakelig på revisjoner og interoperabilitetsbygging. Vurder «bygg kontra kjøp» tidlig – outsourcet moderering eller samsvars-SaaS kan halvere de løpende kostnadene samtidig som teamene holdes slanke.

Håndheving, straffer og erstatningsmekanismer

Regelverk fungerer bare når overtredere føler smerten. Derfor har EU kombinert DSA og DMA med et lagdelt vaktbikkjenettverk og bøter som er store nok til å få selv milliardbedrifter til å blunke.

Tilsynsarkitektur

Koordinatorer for digitale tjenester håndhever de fleste DSA-oppgaver på nasjonalt nivå, støttet av et EU-styre for grenseoverskridende saker og politisk sammenheng. Kommisjonen leder alle DMA-etterforskninger og alt VLOP/VLOSE-tilsyn, og utøver fullmakter til razziaer, avhørsmandater og ordre om tilgang til data i sanntid.

DSA-bøter og straffer

• Opptil 6 % av den globale omsetningen per sikkerhetsbrudd
• Gjentakende bøter begrenset til 1 % av den daglige inntekten
• Tjenestesuspensjon eller tilgangsblokkering for vedvarende, systemiske risikoer
• Obligatorisk femårig oppbevaring av dokumenter, noe som muliggjør fremtidige revisjoner

DMA-bøter og strukturelle rettsmidler

Portvoktere risikerer 10 % – og 20 % for gjentakende lovbrytere – av den globale omsetningen. Hvis pengebidrag viser seg å være nytteløse, kan Kommisjonen innføre atferdsregler, kreve interoperabilitets-API-er, eller, som et slag i hælene, beordre strukturell separasjon av forretningslinjer.

Klager og brukeroppreisning

Brukere, handelsmenn og varslere kan sende inn klager via plattformdashbord, sertifiserte ADR-organer eller direkte til regulatorer. Plattformer må reagere raskt og uten kostnad for klageren. Forbrukergrupper kan samle krav i henhold til EUs kollektive klagedirektiv.

Prognoser for rettstvister

Forvent mer DSA/DMA søksmål i nederlandske domstoler, inkludert kollektive søksmål om feilaktige fjerninger eller selvpreferanse. Detaljerte modereringslogger og revisjonsspor vil avgjøre – eller ødelegge – forsvaret. Tidlig juridisk gjennomgang redder derfor både omdømme og balanse.

Viktige datoer, milepæler og fremtidige oppdateringer

Regelboken er allerede trådt i kraft, men mange operative detaljer er fortsatt under utvikling. Merk av følgende kontrollpunkter, slik at budsjett, teknologiske sprinter og styremøter treffer riktig uke.

Oversikt over den lovgivende tidslinjen

Forslag avduket 15. desember 2020 → politisk avtale 23. april 2022 → tekster publisert i Den offisielle tidende 27. oktober 2022 → begge lovene trådte i kraft 16. november 2022.

Overholdelsesfrister

VLOP/VLOSE-betegnelsene trådte i kraft 25. april 2023; DSA gjelder for alle siden 17. februar 2024. Gatekeepere har seks måneder på seg etter betegnelsen; de første DMA-samsvarsrapportene forfaller 6. september 2024.

Kommende delegerte rettsakter og veiledning

Forvent kommisjonsmaler for systemiske risikovurderinger, API-er for annonsearkiv og sertifiserte ADR-standarder innen fjerde kvartal 4, i tillegg til regelmessige spørsmål og svar-grupper fra EU-styret.

Gjennomgangsklausuler og mulige utvidelser

En formell treårig gjennomgang i 2026 kan utvide dekningen til metaverse-hubber, stemmeassistenter og generative AI-tjenester hvis systemiske risikoer vedvarer.

Raske svar på vanlige spørsmål

Har du dårlig tid? De korte forklaringene nedenfor dekker spørsmålene vi oftest hører fra kunder som prøver å tyde loven om digitale tjenester (DSA) og loven om digitale markeder (DMA).

Hva er loven om digitale tjenester på vanlig engelsk?

En regelbok for åpenhet og brukersikkerhet som forplikter alle nettsteder, apper eller hostingleverandører til å la folk flagge ulovlig innhold enkelt, reagere raskt på disse flaggene og publisere årlig modereringsstatistikk.

Hva er den digitale markedsloven på vanlig engelsk?

En forhåndsgodkjent konkurranselov som forteller «portvokter»-plattformer – tenk appbutikker, søkemotorer, sosiale nettverk – hva de må gjøre (åpne API-er, tillate avinstallasjoner) og ikke må gjøre (selvpreferanse, knytte tjenester).

Hovedforskjellen mellom DSA og DMA?

DSA regulerer hvordan innhold håndteres for brukerbeskyttelse, mens DMA regulerer hvordan markedsmakt brukes til rettferdig konkurranse. Den ene retter seg mot oppførsel, den andre mot dominans.

Gjelder DSA/DMA utenfor EU?

Ja. Hvis du retter deg mot EU-brukere eller overvåker atferden deres, må du overholde retningslinjene og utnevne en juridisk representant for EU – selv om du har hovedkontor i Silicon Valley eller Singapore.

Hva skjer hvis bedriften min ignorerer reglene?

Regulatorer kan ilegge bøter på opptil 6 % (DSA) eller 10 %/20 % (DMA) av den globale omsetningen, ilegge daglige bøter og i ekstreme tilfeller blokkere tilgang til EU-markedet.

Er bank- og finanstjenester dekket?

Bare når de fungerer som nettbaserte mellomledd – f.eks. driver en markedsplass eller et API-lag. Sektorspesifikke regler som PSD2 gjelder fortsatt parallelt.

Neste trinn

DSA og DMA er allerede håndhevbare, og uvitenhet medfører bøter som får store overskrifter. Behandle samsvar som enhver annen produktlansering – strukturert, budsjettert og dokumentert:

• Kartlegg hver digitale tjeneste og identifiser hvilken lov – og hvilket nivå – som gjelder.
• Kjør en rask risikoskanning, og utdyp deretter analysen der eksponeringen er høy.
• Tildel budsjett, eiere og en tidslinje på seks måneder før regulatorene ber om det.
• Registrer alle avgjørelser og få ekstern juridisk vurdering tidlig, ikke etter en klage.

Trenger du skreddersydd hjelp? Kontakt Law & More å gjøre disse kulene om til en handlingsplan.