The Turkish Personal Data Protection Board clarified the limits applicable to employers’ monitoring of corporate e-mail accounts and other communication channels through its Principle Decision No. 2026/2035. The Board emphasized that employees must be informed in advance, monitoring must be limited to specific, legitimate, and proportionate purposes, less intrusive methods should be preferred, and the content of communications should be reviewed only where necessary. Employers should therefore review their existing policies, privacy notices, and access procedures in line with the Principle Decision.

Kişisel Verileri Koruma Kurulu, 2026/2035 sayılı İlke Kararı ile işverenlerin kurumsal e-posta ve diğer iletişim kanallarını denetlemesine ilişkin sınırları netleştirdi. Çalışanların önceden bilgilendirilmesi, denetimin belirli, meşru ve ölçülü amaçlarla sınırlı tutulması, daha az müdahaleci yöntemlerin tercih edilmesi ve içerik incelemesine yalnızca gerekli hallerde başvurulması gerektiği vurgulandı. İşverenlerin mevcut politika, aydınlatma ve erişim süreçlerini bu doğrultuda gözden geçirmesi önem taşıyor.

On 1 October 2026, the Turkish Personal Data Protection Authority clarified that final responses to data subject requests must be provided in writing or electronically. Verbal communications, including phone calls or face-to-face explanations, may support the process but cannot replace the formal response. Data controllers should ensure responses are timely, properly documented, clear, and capable of subsequent verification where necessary.

Kişisel Verileri Koruma Kurumu, 1 Ekim 2026 tarihinde ilgili kişi başvurularına verilecek nihai cevapların yazılı veya elektronik ortamda iletilmesi gerektiğini açıkladı. Telefon görüşmeleri veya yüz yüze bilgilendirmeler süreci desteklemek amacıyla kullanılabilse de resmi cevabın yerini alamaz. Veri sorumlularının cevapların süresinde, açık, belgelendirilebilir ve gerektiğinde sonradan doğrulanabilir şekilde iletilmesini sağlamaları önem taşımaktadır.