Kişisel veriler, ilgili kişinin açık rızası olmaksızın yurt dışına aktarılamaz.
Ancak, 5 inci maddenin ikinci fıkrası ile 6 ncı maddenin üçüncü fıkrasında belirtilen şartlardan birinin varlığı ve kişisel verinin aktarılacağı yabancı ülkede yeterli korumanın bulunması kaydıyla ilgili kişinin açık rızası aranmaksızın kişisel veriler yurt dışına aktarılabilir.
Yeterli korumanın bulunduğu ülkeler Kurulca belirlenerek ilan edilir.
Yeterli korumanın bulunmaması durumunda, Türkiye'deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurulun izninin bulunması kaydıyla veriler yurt dışına aktarılabilir.