6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca kişisel verilerin yurt dışına aktarımı belli şartların yerine getirilmesine bağlanmıştır. 

İlgili kişinin açık rızası 

Kişisel verisi işlenen ilgili kişinin açık rızasının bulunması, yurt dışına kişisel veri aktarımında aranan ilk şarttır. 

Koruma konusunda yeterli derecede güvenliğin sağlanması 

Bu noktada iki önemli husus bulunmaktadır. İlk olarak kişisel verinin aktarılacağı ülke Kişisel Verileri Koruma Kurulu tarafından ilan edilen güvenli ülkeler içerisinde yer almalıdır. Bu ön koşulu karşılayan durumlarda yurt dışına aktarılacak kişisel verinin özel nitelikli olup olmadığı dikkate alınır. Özel nitelikli kişisel verinin aktarımı söz konusu değilse aşağıdaki kriterler uyarınca kişisel veriler yurt dışına aktarılabilir: 

1. Kendisinin açık rızası fiili imkansızlıklar sebebiyle alınamayacak olan ilgili kişinin ya da ilgili kişiyle alakalı bir başka kişinin hayatının ve/veya beden bütünlüğünün korunması söz konusu olan zorunlu durumlarda 

2. Bir sözleşmenin hayata geçirilmesi sebebiyle sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerektiği durumlarda 

3. Veri sorumlusunun hukuki yükümlülüğünü adına gerek duyulan durumlarda 

4. Kişisel verilerin ilgili kişi tarafından alenileştirildiği durumlarda 

5. Bir hakkın korunmasını veya kullanılmasını gerektiren durumlarda 

6. Veri sorumlusunun meşru menfaatlerini gerektiren, konu ile ilgili zorunluluk içeren ve bu süreçte ilgili kişinin temel hak ve özgürlüklerine zarar verilmeyeceğinin garanti edilebildiği durumlarda 

Bu şartlar sağlandığı takdirde ilgili güvenli ülkeye ilgili kişinin veri aktarımı gerçekleştirilebilir.  

Bir diğer konu yurt dışına aktarılacak verinin özel nitelikli kişisel veri sınıfına girmesidir. Böylesi bir durumda yerine getirilmesi gereken şartlar aşağıda belirtilmiştir. Bu şartlardan en az birinin sağlandığı durumlarda özel nitelikli kişisel verinin yurt dışına aktarımı mümkündür. 

1. Sağlık ve cinsel hayat dışındaki özel nitelikli kişisel verinin kanunda açıkça öngörülmesi halinde gerçekleştirilebilir. 

2. Sağlık ve cinsel hayatla ilgili özel nitelikli kişisel verinin işlenmesi kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetleri söz konusu olduğunda mümkündür.  

Bu iki madde söz konusu olduğunda özel nitelikli kişisel verinin aktarılacağı ülke, güvenli ülkeler listesinde yer alıyorsa ilgili kişinin açık rızasının alınması da zorunluluk olmaktan çıkar. 

 Güvenli ülkeler listesinde yer almayan ülkelere aktarım olacaksa 

İlgili kişinin kişisel verisinin aktarılacağı ülke, güvenli ülkeler listesinde bulunmuyorsa Türkiye ve bahsi geçen, güvenliği yeterli şartları sağmayan yabancı ülkedeki veri sorumlularının yeterli koruma yazılı olarak taahhüt etmeleri ve Kişisel Verileri Koruma Kurulunun gerekli izni vermesi şartı aranır. Bu durumda ilgili kişinin açık rızası aranmaksızın ilgili kişinin kişisel verisi bahsi geçen ülkeye aktarılabilir.