Turkey: Data Protection

Generative artificial intelligence (“GAI”) systems have found widespread use in recent years at both the individual and organizational levels due to their ability to generate content in various formats, such as text, images, audio, and software code. Since the operation of these systems is largely data-driven, it is inevitable that they will come into contact with information constituting personal data during both the training and operational phases.

31.07.2026 tarihli bilgi notumuzda, 1 Ağustos 2026 tarihinde yürürlüğe giren Ticari Reklam ve Haksız Ticari Uygulamalar Yönetmeliğinde Değişiklik Yapılmasına Dair Yönetmelik'in (“Değişiklik Yönetmeliği”) getirdiği değişiklikleri özetlemiştik. Şimdi, Değişiklik Yönetmeliği'nin getirdiği yeniliğe karşı uyum tavsiyemizi; ardından karşılaştırmalı hukuk değerlendirmesini ve Değişiklik Yönetmeliği'ne ilişkin eleştirilerimizi sunacağız.

In our information note dated July 31, 2026, we summarized the changes introduced by the Regulation Amending the Regulation on Commercial Advertising and Unfair Commercial Practices (“Amendment Regulation”), which entered into force on August 1, 2026. We will now present our compliance recommendations regarding the new provisions introduced by the Amendment Regulation, followed by a comparative legal analysis and our criticisms of the Amendment Regulation.

Temmuz ayında kişisel verilerin korunması alanında, veri işleme süreçlerini daha somut ve uygulamaya dönük şekilde şekillendiren önemli gelişmeler yaşanmıştır.

In July, significant developments took place in the field of personal data protection, further shaping data processing practices in a more concrete and practice-oriented manner.

On January 2, 2025, the Personal Data Protection Authority (“Authority“) published the Guideline on the Cross-Border Transaction of Personal Data Cross-border (“Guideline“) in order to enlighten the public on the implementation of transactions of personal data cross-border within the scope of Article 9 of the Personal Data Protection Law No. 6698 (“KVKK“) and the appropriate safeguards expected by the Personal Data Protection Board (“Board“).

The use of telephone numbers, email addresses and other contact details obtained from third parties for advertising and marketing activities gives rise to significant legal risks that must be carefully assessed under the Personal Data Protection Law No. 6698 (the “Law”).

Şirket birleşme ve devralmalarında due diligence süreci, alıcının bilinçli bir yatırım kararı verebilmesi için hedef şirketin hukuki, mali ve operasyonel yapısını derinlemesine analiz ettiği temel aşamayı oluşturmaktadır. Bu süreç, yalnızca mevcut durumu tespit etmekle sınırlı kalmayıp kapanış sonrasında alıcının maruz kalabileceği gizli riskleri ve yükümlülükleri öngörmek, bunları sözleşme yapısına doğru bir şekilde yansıtmak bakımından da belirleyici bir işlev üstlenmektedir.

In corporate mergers and acquisitions, the due diligence process constitutes the fundamental stage during which the buyer conducts an in-depth analysis of the target company's legal, financial and operational structure, enabling the buyer to make an informed investment decision. This process is not limited to merely ascertaining the current situation; it also plays a decisive role in anticipating hidden risks and liabilities to which the acquirer may be exposed following completion, and in ensuring these are properly reflected in the contractual framework