GVKT (GDPR) kapsamında, bir veri sorumlusunun, veri işleme faaliyetlerini yürütmek için anlaştığı bir 'veri işleyen'in (örneğin bulut hizmeti sağlayıcısı) de kendi adına başka bir 'alt veri işleyen' kullanması durumunda, asıl veri sorumlusunun bu alt veri işleyen ile ilgili bir sorumluluğu var mıdır?

Cevap: Evet, vardır. Slimpay kararında da belirtildiği gibi, GVKT m. 28 uyarınca, veri sorumlusu, veri işleyeninin kullanacağı alt veri işleyenler için de genel veya özel bir yetki vermelidir. Veri işleyen, alt veri işleyenle yaptığı sözleşmede, veri sorumlusuyla yaptığı sözleşmedeki aynı veri koruma yükümlülüklerini dayatmak zorundadır. Nihai sorumluluk veri sorumlusunda kalmaya devam eder.