Insights

Rekabet Kurulu, Aydın’daki sürücü kurslarıyla danışmanlık şirketi arasındaki fiyat belirleme ve yaptırım mekanizmalarını kartel kapsamında değerlendirmiş; şirkete 111.904,28 TL, belirleyici etkisi bulunan yöneticiye ise 5.595,21 TL idari para cezası vermiştir. Karar, kartelin kolaylaştırılmasına katkı sunan şirketlerin ve ihlalde belirleyici rol oynayan yöneticilerin de kişisel sorumlulukla karşılaşabileceğini göstermektedir. Bu yönüyle karar, teşebbüsler açısından rekabet hukuku uyum programlarının önemini yeniden ortaya koymaktadır.

The Data Protection Board’s Decision No. 2026/347, published in the Official Gazette, aims to rectify incorrect practices in the areas of privacy notices and explicit consent. The decision emphasises that these two processes serve different legal functions and must therefore be prepared separately. It is also stated that the texts must be clear, accurate and comprehensible, tailored to the specific circumstances of the case, and that explicit consent should not be sought unnecessarily. Failure to comply with these principles may result in serious sanctions.

Kişisel Verileri Koruma Kurulunun Resmî Gazete’de yayımlanan 2026/347 sayılı ilke kararı, aydınlatma ve açık rıza uygulamalarındaki hatalı pratikleri gidermeyi amaçlamaktadır. Kararda, bu iki sürecin farklı hukuki işlevlere sahip olduğu vurgulanarak ayrı hazırlanması gerektiği belirtilir. Ayrıca metinlerin açık, doğru ve anlaşılır olması, somut olaya özgü düzenlenmesi ve gereksiz şekilde açık rızaya başvurulmaması gerektiği ifade edilir. Bu ilkelere uyulmaması halinde ciddi yaptırımlarla karşılaşabilecektir.

The CPI 2025 highlights continued global governance decline, with Türkiye ranking 124th out of 182 countries and recording its lowest score to date. This environment increases regulatory, reputational, and compliance risks for companies. Businesses operating in Türkiye must strengthen internal controls, third-party due diligence, and governance frameworks to meet rising international enforcement and investor expectations.

The Regulation on Products Derived from Cannabis, published on 31 January 2026, regulates the production, licensing, traceability, export, and sale of medicinal products, health products, personal care products with no narcotic effect, and support products derived from cannabis. The licensing and supervision of cannabis-derived products are carried out by the Ministry of Health and the Turkish Medicines and Medical Devices Agency (TMMDA). The maximum THC content for these products is set at 0.3%. Sales are permitted exclusively through pharmacies; medicinal products and health products may not be sold without a prescription. In addition, an electronic tracking system is mandatory, and a cosmetic product notification is required for personal care products.

31 Ocak 2026’da yayımlanan Kenevirden Elde Edilen Ürünlere Dair Yönetmelik, kenevirden elde edilen tıbbi, sağlık, uyuşturucu etkisi olmayacak oranda kişisel bakım ürünleri ile destek ürünlerinin üretim, ruhsatlandırma, izlenebilirlik, ihracat ve satış süreçlerini düzenler. Kenevirden elde edilen ürünlerin ruhsatlandırılması ve denetimi Sağlık Bakanlığı ile Türkiye İlaç ve Tıbbî Cihaz Kurumu (TİTCK) tarafından yürütülür. Bu ürünlerde THC üst sınırı %0,3’tür. Satış sadece eczanelerden yapılır; tıbbi ve sağlık ürünleri reçetesiz satılamaz. Ayrıca elektronik takip sistemi zorunludur ve kişisel bakım ürünleri için kozmetik ürün bildirimi şarttır.

With the latest public announcement published on the official website of the Personal Data Protection Authority (“Authority”), it has been announced that a significant change has been introduced in the practice regarding the publication of data breach notifications on the Authority’s website, in line with the Personal Data Protection Board’s Decision dated 25/12/2025 and numbered 2025/2451. Accordingly, a new period has begun in terms of the publication durations of data breach announcements; the maximum publication period has been limited to 60 days. It has been decided that, if it is proven that the affected data subjects have been notified within a shorter period than this, the announcement will be removed.

Kişisel Verileri Koruma Kurumu (“Kurum”) tarafından resmî internet sitesinde yayımlanan son kamuoyu duyurusu ile, Kişisel Verileri Koruma Kurulu’nun 25/12/2025 tarihli ve 2025/2451 sayılı kararı doğrultusunda veri ihlali bildirimlerinin Kurum internet sitesinde ilan edilmesine ilişkin uygulamada önemli bir değişikliğe gidildiği kamuoyuna duyurulmuştur. Bu kapsamda, veri ihlali ilan süreleri bakımından yeni bir dönem başlamış; azami yayım süresi 60 gün ile sınırlandırılmıştır. Bu süreden daha kısa sürede ilgili kişilere bildirimlerin yapıldığının ispatlanması halinde ilanın kaldırılmasına karar verilmiştir.

Kişisel Verileri Koruma Kurumu, mobil uygulamalarda kullanıcı onaylarını tek bir rıza ile birleştirmenin, kişisel verilerin korunmasına aykırı olduğunu tekrar hatırlatmıştır ve "parçalı açık rıza" ilkesine göre, her veri işleme amacı için ayrı onay alınması gerektiğini vurgulamıştır. Ayrıca mobil uygulamalar tasarlanırken, tasarımdan itibaren veri koruma ilkesine (privacy by design) uygun yapılması gerektiği de unutulmamalıdır.

Avrupa Komisyonu’nun 16 Aralık 2025’te yayımladığı revizyon önerisi, Tıbbi Cihazlar Tüzüğü (MDR) ve İn Vitro Tanı Amaçlı Tıbbi Cihazlar Tüzüğü (IVDR) kurallarını hedefli biçimde sadeleştirerek üreticilerin—özellikle KOBİ’lerin—idari yükünü ve sertifikasyon maliyetlerini azaltmayı amaçlamaktadır. Bu kapsamda düşük ve orta riskli cihazlarda süreçler hızlandırılıp dijital uygulamalar yaygınlaştırılırken, hasta güvenliği standartlarının korunması esas alınmaktadır. Avrupa Komisyonu, değişikliklerin inovasyonu ve iç pazarda rekabet gücünü artıracağını ve yıllık 3–5 milyar Euro tasarruf sağlayabileceğini belirtmektedir. Türkiye’nin Avrupa Birliği uyumu nedeniyle benzer düzenleme güncellemeleri gündeme gelebilir.

Resmi Gazete’de yayımlanan “Sağlık Hizmetlerinde Tanıtım ve Bilgilendirme Faaliyetleri Hakkında Yönetmelik” ile, sağlık meslek mensupları, özel sağlık tesisleri ve uluslararası sağlık turizmi aktörlerinin tanıtım-bilgilendirme faaliyetlerini sıkı kurallara bağlanmış; yalnızca uzmanlık alanlarında, etik ve bilimsel ilkelere uygun tanıtıma izin verilmiştir. Bu doğrultuda sertifika temelli unvanlar, hasta memnuniyeti içerikleri, sponsorlu veya marka odaklı paylaşımlar, indirim–promosyon duyuruları ve 6698 sayılı Kişisel Verilerin Korunması Kanunu’na aykırı tanıtımlar yasaklanmıştır.

The Bill of Law on Amendments to the Turkish Penal Code No. 5237 dated 26/9/2004 and Certain Laws (“Bill”), submitted to the Grand National Assembly of Turkey (TBMM) on 23 July 2025 and currently under committee review, introduces a legal definition of artificial intelligence (“AI”) and clarifies the applicable liability framework. In this context, the Bill establishes separate penalties for users and developers, imposes a six-hour intervention requirement and a permanent labelling obligation for deepfake content, classifies the use of discriminatory data sets as a violation, and authorizes the Information and Communication Technologies Authority (ICTA) to issue access-blocking orders and impose administrative fines of up to TRY 10 million. It also introduces obligations for AI service providers, including ensuring transparency of training data sets and implementing content-verification mechanisms. Through these measures, the Bill aims to enact a series of regulatory amendments governing the development and use of AI technologies.

23 Temmuz 2025’te Türkiye Büyük Millet Meclisi’ne sunulan ve halihazırda komisyonda bulunan 5237 sayılı ve 26/9/2004 tarihli Türk Ceza Kanunu ve Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun Teklifi ile yapay zekânın hukuki tanımı yapılıp sorumluluk rejimi netleştirilmektedir. Bu doğrultuda kullanıcı ve geliştiriciye ayrı cezalar, deepfake için 6 saatte müdahale ve kalıcı etiket zorunluluğu, ayrımcı veri setlerinin ihlal sayılması, Bilgi Teknolojileri ve İletişim Kurumu’na erişim engelleme ve 10 milyon TL’ye kadar idari para cezası verme yetkisi, yapay zeka hizmet sağlayıcılarına eğitim veri seti şeffaflığı ve içerik doğrulama mekanizmaları kurma gibi yükümlülükler getirilerek çeşitli değişikliklerin yapılması amaçlanmıştır.

The Turkish Competition Board did not consider the act of leaving Knox Teams groups during the on-site inspection at Samsung, nor the resulting automatic deletion of messages, as conduct hindering or complicating the on-site inspection. Once the messages were accessed, their contents were found to be unrelated to the subject matter of the investigation. Consequently, no administrative fine was imposed on Samsung. Although this decision differs from the Competition Board’s usual “deletion equals fine” approach, it is premature to interpret it as a shift in the Competition Board’s overall practice

Rekabet Kurulu, Samsung’daki yerinde inceleme esnasında Knox Teams gruplarından ayrılma ve buna bağlı otomatik silmeyi engelleme/zorlaştırma saymadı. Mesajlara erişildikten sonra içeriklerin inceleme konusuyla bağlantısı görülmediği için Samsung hakkında idari para cezası uygulanmadı. Karar, Rekabet Kurulu’nun “silme=ceza” yaklaşımından farklı nitelik taşısa da Rekabet Kurulu'nun uygulamasının bu yönde değiştiği yorumunu yapmak henüz mümkün değildir.

The Capital Markets Board (“CMB”), in its bulletin dated 9 October 2025, announced through a new resolution that the requirement for notarisation of board of directors’ resolutions created via the Electronic Commercial Book System (“ETDS”) has been removed. Furthermore, with the amendment made on 20 September 2025 to the Communiqué on the Keeping of Commercial Books Not Related to Business Accounting in Electronic Form, the obligation for companies previously registered with the ETDS to maintain their books electronically has also been removed. Companies may apply to switch to physical books by 1 January 2026, while those wishing to continue using the ETDS may do so and continue to benefit from the system’s efficiencies.