Kanunun 9. maddesinin 1. fıkrasında kişisel verilerin ilgilinin açık rızası olmaksızın yurt dışına aktarılamayacağı düzenlenirken, maddenin 2. fıkrasında bu hükme istisna getirilmiştir.

Bu düzenleme yapılırken 5. maddenin 2. fıkrası kapsamındaki kişisel veriler ile 6. maddenin 3. fıkrasında belirtilen özel nitelikli kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenmesine izin veren şartlar esas alınmakta ve bu şartlardan birinin varlığı halinde, kişisel verinin aktarılacağı yabancı ülkede, yeterli korumanın bulunması kaydıyla, ilgili kişinin açık rızası aranmaksızın yurt dışına aktarmaya imkân tanınmaktadır.

Şayet ilgili yabancı ülkede yeterli koruma bulunmuyorsa, Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurulun izninin bulunması kaydıyla ilgili kişinin açık rızası aranmaksızın kişisel verilerin yurt dışına aktarılmasına imkân verilmektedir.

Yabancı ülkelerde yeterli koruma bulunup bulunmadığı Kurulca belirlenerek ilan edilecektir. Yabancı ülkede yeterli koruma bulunup bulunmadığına ve verilerin yurt dışına aktarılmasına izin verilirken hangi kriterlerin dikkate alınacağına Kurul tarafından karar verilecektir. Ayrıca uluslararası sözleşme hükümleri saklı kalmak kaydıyla ülkenin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar göreceği durumlarda kişisel verilerin ancak ilgili kamu kurum veya kuruluşunun görüşü alınarak Kurulun izni ile yurtdışına aktarılması öngörülmektedir.