Turkey: Data Protection

Kişisel Verileri Koruma Kurulu’nun (“Kurul”) 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete’de yayımlanan 16 Eylül 2026 tarihli ve 2026/2035 sayılı İlke Kararı (“İlke Kararı”) ile, işverenler tarafından çalışanlara tahsis edilen kurumsal e-posta hesapları ve işin yürütülmesi amacıyla kullanılan diğer iletişim kanallarının denetlenmesinde uyulması gereken usul ve esaslar belirlenmiştir. İlke Kararı, denetim faaliyetlerinin hukuki dayanağı, çalışanların aydınlatılması, denetimin sınırları ve iş ilişkisinin sona ermesinden sonra hesapların yönetilmesine ilişkin yükümlülükleri açıklığa kavuşturmaktadır.

As is known, pursuant to Article 18 of the Personal Data Protection Law No. 6698 dated 24 March 2016 (“Law”), titled “Misdemeanours”, the Personal Data Protection Board (“Board”) may impose administrative fines on data controllers and data processors in cases where the obligation to inform is not fulfilled, the obligations regarding data security are not complied with, the decisions rendered pursuant to Article 15 of the Law are not implemented, the obligation to register with and notify the Data Controllers Registry is violated, and the standard contracts—which must be among the appropriate safeguards required for the transfer of personal data abroad in certain circumstances—are not notified in accordance with the conditions set forth in the Law.

As a result of digital transformation, the migration of business processes to electronic platforms and the emergence of digital communication tools as an integral part of professional life, it has become necessary to reassess the balance between the employer’s management rights and the employee’s personal rights.

Under the Personal Data Protection Law No. 6698 (“Law”), what is decisive is not so much the nature of the data but whether it can be linked to a specific or identifiable natural person.

08.10.2026 tarihli ve 33394 sayılı Resmî Gazete’de, Kişisel Verileri Koruma Kurulunun (“Kurul”) 16.09.2026 tarihli ve 2026/2035 sayılı “İşverenler Tarafından Çalışanlara Tahsis Edilen Kurumsal E-Posta Hesapları Başta Olmak Üzere, İşin Yürütülmesi Amacıyla Kullanılan İletişim Kanallarının Denetlenmesi Suretiyle Gerçekleştirilen Kişisel Veri İşleme Faaliyetlerinde Uyulması Gereken Usul ve Esaslar Hakkında İlke Kararı” (“İlke Kararı”) yayımlanmıştır.

Kişisel Verileri Koruma Kurulu’nun (“Kurul”), 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı (“İlke Kararı”), 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete’de yayımlanmıştır. İlke Kararı, işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları başta olmak üzere, işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetlenmesi suretiyle gerçekleştirilen kişisel veri işleme faaliyetlerinde uyulması gereken usul ve esasları ortaya koymaktadır.

By its decision no. 476 of 18 June 2026, the Italian data protection authority (the "Garante") imposed an administrative fine of EUR 460,000 on Piaggio & C. S.p.A. for accessing the corporate email accounts of two dismissed employees and retaining that data for an extended period.

Dijital iletişim araçlarının iş hayatının temel unsurlarından biri haline gelmesiyle birlikte, işverenler tarafından çalışanlara tahsis edilen kurumsal e-posta hesaplarının, bilgisayarların ve diğer iletişim araçlarının kullanımının denetlenmesi ile çalışanların özel hayatın gizliliği ve haberleşme hürriyetine ilişkin haklarının korunması arasındaki dengenin sağlanması oldukça önemli bir konu haline gelmiştir.

As digital communication tools have become a fundamental part of professional life, striking a balance between monitoring of corporate email accounts, computers, and other communication tools assigned to employees by the employers and the protection of employees’ rights to privacy in their personal lives and freedom of communication has become a critical issue.