Insights

With the latest public announcement published on the official website of the Personal Data Protection Authority (“Authority”), it has been announced that a significant change has been introduced in the practice regarding the publication of data breach notifications on the Authority’s website, in line with the Personal Data Protection Board’s Decision dated 25/12/2025 and numbered 2025/2451. Accordingly, a new period has begun in terms of the publication durations of data breach announcements; the maximum publication period has been limited to 60 days. It has been decided that, if it is proven that the affected data subjects have been notified within a shorter period than this, the announcement will be removed.

Kişisel Verileri Koruma Kurumu (“Kurum”) tarafından resmî internet sitesinde yayımlanan son kamuoyu duyurusu ile, Kişisel Verileri Koruma Kurulu’nun 25/12/2025 tarihli ve 2025/2451 sayılı kararı doğrultusunda veri ihlali bildirimlerinin Kurum internet sitesinde ilan edilmesine ilişkin uygulamada önemli bir değişikliğe gidildiği kamuoyuna duyurulmuştur. Bu kapsamda, veri ihlali ilan süreleri bakımından yeni bir dönem başlamış; azami yayım süresi 60 gün ile sınırlandırılmıştır. Bu süreden daha kısa sürede ilgili kişilere bildirimlerin yapıldığının ispatlanması halinde ilanın kaldırılmasına karar verilmiştir.

Kişisel Verileri Koruma Kurumu, mobil uygulamalarda kullanıcı onaylarını tek bir rıza ile birleştirmenin, kişisel verilerin korunmasına aykırı olduğunu tekrar hatırlatmıştır ve "parçalı açık rıza" ilkesine göre, her veri işleme amacı için ayrı onay alınması gerektiğini vurgulamıştır. Ayrıca mobil uygulamalar tasarlanırken, tasarımdan itibaren veri koruma ilkesine (privacy by design) uygun yapılması gerektiği de unutulmamalıdır.

Avrupa Komisyonu’nun 16 Aralık 2025’te yayımladığı revizyon önerisi, Tıbbi Cihazlar Tüzüğü (MDR) ve İn Vitro Tanı Amaçlı Tıbbi Cihazlar Tüzüğü (IVDR) kurallarını hedefli biçimde sadeleştirerek üreticilerin—özellikle KOBİ’lerin—idari yükünü ve sertifikasyon maliyetlerini azaltmayı amaçlamaktadır. Bu kapsamda düşük ve orta riskli cihazlarda süreçler hızlandırılıp dijital uygulamalar yaygınlaştırılırken, hasta güvenliği standartlarının korunması esas alınmaktadır. Avrupa Komisyonu, değişikliklerin inovasyonu ve iç pazarda rekabet gücünü artıracağını ve yıllık 3–5 milyar Euro tasarruf sağlayabileceğini belirtmektedir. Türkiye’nin Avrupa Birliği uyumu nedeniyle benzer düzenleme güncellemeleri gündeme gelebilir.

Resmi Gazete’de yayımlanan “Sağlık Hizmetlerinde Tanıtım ve Bilgilendirme Faaliyetleri Hakkında Yönetmelik” ile, sağlık meslek mensupları, özel sağlık tesisleri ve uluslararası sağlık turizmi aktörlerinin tanıtım-bilgilendirme faaliyetlerini sıkı kurallara bağlanmış; yalnızca uzmanlık alanlarında, etik ve bilimsel ilkelere uygun tanıtıma izin verilmiştir. Bu doğrultuda sertifika temelli unvanlar, hasta memnuniyeti içerikleri, sponsorlu veya marka odaklı paylaşımlar, indirim–promosyon duyuruları ve 6698 sayılı Kişisel Verilerin Korunması Kanunu’na aykırı tanıtımlar yasaklanmıştır.

The Bill of Law on Amendments to the Turkish Penal Code No. 5237 dated 26/9/2004 and Certain Laws (“Bill”), submitted to the Grand National Assembly of Turkey (TBMM) on 23 July 2025 and currently under committee review, introduces a legal definition of artificial intelligence (“AI”) and clarifies the applicable liability framework. In this context, the Bill establishes separate penalties for users and developers, imposes a six-hour intervention requirement and a permanent labelling obligation for deepfake content, classifies the use of discriminatory data sets as a violation, and authorizes the Information and Communication Technologies Authority (ICTA) to issue access-blocking orders and impose administrative fines of up to TRY 10 million. It also introduces obligations for AI service providers, including ensuring transparency of training data sets and implementing content-verification mechanisms. Through these measures, the Bill aims to enact a series of regulatory amendments governing the development and use of AI technologies.

23 Temmuz 2025’te Türkiye Büyük Millet Meclisi’ne sunulan ve halihazırda komisyonda bulunan 5237 sayılı ve 26/9/2004 tarihli Türk Ceza Kanunu ve Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun Teklifi ile yapay zekânın hukuki tanımı yapılıp sorumluluk rejimi netleştirilmektedir. Bu doğrultuda kullanıcı ve geliştiriciye ayrı cezalar, deepfake için 6 saatte müdahale ve kalıcı etiket zorunluluğu, ayrımcı veri setlerinin ihlal sayılması, Bilgi Teknolojileri ve İletişim Kurumu’na erişim engelleme ve 10 milyon TL’ye kadar idari para cezası verme yetkisi, yapay zeka hizmet sağlayıcılarına eğitim veri seti şeffaflığı ve içerik doğrulama mekanizmaları kurma gibi yükümlülükler getirilerek çeşitli değişikliklerin yapılması amaçlanmıştır.

The Turkish Competition Board did not consider the act of leaving Knox Teams groups during the on-site inspection at Samsung, nor the resulting automatic deletion of messages, as conduct hindering or complicating the on-site inspection. Once the messages were accessed, their contents were found to be unrelated to the subject matter of the investigation. Consequently, no administrative fine was imposed on Samsung. Although this decision differs from the Competition Board’s usual “deletion equals fine” approach, it is premature to interpret it as a shift in the Competition Board’s overall practice

Rekabet Kurulu, Samsung’daki yerinde inceleme esnasında Knox Teams gruplarından ayrılma ve buna bağlı otomatik silmeyi engelleme/zorlaştırma saymadı. Mesajlara erişildikten sonra içeriklerin inceleme konusuyla bağlantısı görülmediği için Samsung hakkında idari para cezası uygulanmadı. Karar, Rekabet Kurulu’nun “silme=ceza” yaklaşımından farklı nitelik taşısa da Rekabet Kurulu'nun uygulamasının bu yönde değiştiği yorumunu yapmak henüz mümkün değildir.

The Capital Markets Board (“CMB”), in its bulletin dated 9 October 2025, announced through a new resolution that the requirement for notarisation of board of directors’ resolutions created via the Electronic Commercial Book System (“ETDS”) has been removed. Furthermore, with the amendment made on 20 September 2025 to the Communiqué on the Keeping of Commercial Books Not Related to Business Accounting in Electronic Form, the obligation for companies previously registered with the ETDS to maintain their books electronically has also been removed. Companies may apply to switch to physical books by 1 January 2026, while those wishing to continue using the ETDS may do so and continue to benefit from the system’s efficiencies.

Sermaye Piyasaları Kurulu, 9 Ekim 2025 tarihli bülteninde yer alan ilke kararıyla Elektronik Ticari Defter Sistemi (“ETDS”) üzerinden oluşturulan yönetim kurulu kararları için noter onayı zorunluluğunu kaldırdığını duyurmuştur. 20 Eylül 2025’te İşletmenin Muhasebesiyle İlgili Olmayan Ticari Defterlerin Elektronik Ortamda Tutulması Hakkında Tebliğ’de yapılan değişiklikle, daha önce ETDS’ye kayıtlı şirketler için elektronik ortamda defter tutma zorunluluğu da kaldırılmıştır. Şirketler isterlerse 1 Ocak 2026’ya kadar fiziki deftere geçebilecek ve dileyenler ETDS’yi kullanmaya devam edebilecektir.

Rekabet Kurulu, Biota Bitkisel İlaç ve Kozmetik Laboratuarları A.Ş., Derma Cos İlaç Medikal ve Kozmetik Sanayii ve İç Ticaret A.Ş. ile Derma-Cos Kozmetik Sanayi Ticaret İthalat ve İhracat Ltd. Şti.’den oluşan ekonomik bütünlüğe, ciro bilgisinin farklı beyan edilmesi nedeniyle yanlış/yanıltıcı bilgi verme kapsamında idari para cezası uygulamıştır. Söz konusu farklı beyan, yerinde incelemenin engellenmesi nedeniyle teşebbüse verilen ceza miktarını doğrudan etkilediğinden teşebbüsler tarafından yerinde incelemelerde verilen bilgilerin eksiksiz doğru, eksiksiz ve güncel bilgi verilmesi hukuki yükümlülüklerin yerine getirilmesi ve yaptırımlardan kaçınma açısından kritik önem taşımaktadır.

With the new regulation published in the Official Gazette on July 24, 2025, the production, licensing, monitoring, and sale of medical, health, personal care, and support products derived from cannabis have been brought under a legal framework. The sale of these products is permitted exclusively through pharmacies, while licensing and registration procedures will be carried out by the Ministry of Health. The agricultural production process will fall under the responsibility of the Ministry of Agriculture and Forestry. In this way, both public health is protected and legal predictability is ensured within the sector. The regulation represents an important step in supporting Türkiye’s entry into the cannabis-based product market.

20 Temmuz 2025’te TBMM’de kabul edilen yeni düzenleme ile, kenevirden elde edilen tıbbi, sağlık, kişisel bakım ve destek ürünlerinin üretimi, ruhsatlandırılması, takibi ve satışı yasal bir çerçeveye alınmıştır. Bu ürünlerin yalnızca eczaneler aracılığıyla satışına izin verilirken, ruhsat ve kayıt işlemleri Sağlık Bakanlığı tarafından yürütülecektir. Tarımsal üretim süreci ise Tarım ve Orman Bakanlığı’nın sorumluluğunda olacaktır. Böylece hem kamu sağlığı korunmakta hem de sektörde hukuki öngörülebilirlik sağlanmaktadır. Düzenleme, Türkiye’nin kenevir temelli ürün pazarına girişini destekleyen önemli bir adım niteliğindedir.

The EU AI Act, effective August 1, 2024, establishes stringent standards for AI risk management, transparency, and oversight. In response, regular training and policy updates are crucial for ensuring compliance and maintaining a competitive edge. This alert explores the Act’s key elements and their impact on EU businesses, highlighting the importance of risk assessment, data management updates, and dynamic strategies.

The Association of Certified Fraud Examiners ("ACFE"), a global anti-fraud organization, has recently published its 2024 Occupational Fraud Report (the "Report"). Drawing from data spanning 138 countries and 22 industry sectors, the report reveals staggering losses exceeding USD 31.1 billion due to occupational fraud.