Una persona che abbia inserito un plugin di terzi (terzi che hanno fornito il plugin) nel proprio sito Internet, inserimento che determina la raccolta e la trasmissione di dati personali dell’utente, è considerata responsabile del trattamento ai sensi dell’articolo 2, lettera d), della direttiva 95/46. Tuttavia, tale responsabilità (congiunta) del responsabile del trattamento è limitata alle operazioni per le quali esso codecide effettivamente sugli strumenti e sulle finalità del trattamento dei dati personali.
Ai fini della valutazione della possibilità di trattare dati personali alle condizioni stabilite all’articolo 7, lettera f), della direttiva 95/46, devono essere tenuti in considerazione gli interessi legittimi di entrambi i corresponsabili di cui trattasi e detti interessi devono essere controbilanciati dai diritti delle persone interessate.
Il consenso della persona interessata, ottenuto ai sensi dell’articolo 7, lettera a), della direttiva 95/46, deve essere prestato al gestore di un sito Internet che abbia inserito contenuti di terzi. L’articolo 10 della direttiva 95/46 viene interpretato nel senso che l’obbligo di informazione ai sensi di tale disposizione si applica anche a tale gestore del sito Internet. Il consenso della persona interessata di cui all’articolo 7, lettera a), della direttiva 95/46 deve essere prestato, e le informazioni ai sensi dell’articolo 10 della medesima direttiva devono essere fornite, prima che i dati siano raccolti e trasferiti. Tuttavia, la portata di tali obblighi deve corrispondere alla responsabilità congiunta di detto gestore per la raccolta e la trasmissione dei dati personali.