6698 sayılı Kişisel Verilerin Korunması Kanununun 9. Maddesi gereği, “Kişisel veriler, ilgili kişinin açık rızası olmaksızın yurt dışına aktarılamaz. Ancak, kişisel verinin aktarılacağı yabancı ülkede yeterli korumanın bulunması veya yeterli korumanın bulunmaması durumunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kişisel Verileri Koruma Kurulunun izninin bulunması kaydıyla ilgili kişinin açık rızası aranmaksızın söz konusu verilerin yurt dışına aktarılabilir.” Bu kapsamda Kanunun 9. Maddesi uyarınca yeterli korumanın bulunduğu ülkelerin Kurulca belirlenmesinde kullanılmak üzere Kurulun 02/05/2019 tarih ve sayılı 2019/125 sayılı Kararıyla; ülkeler arasında karşılıklılık durumu, ilgili ülkenin kişisel verilerin işlenmesine ilişkin mevzuatı ve uygulamasının nasıl olduğu (örneğin; ilgili ülke için kişisel verilerin korunmasının Anayasal bir hak olup olmadığı, ilgili ülkenin kişisel verilerin korunmasına ilişkin temel bir kanununun bulunup bulunmadığı,ikincil düzenlemeler ve bu düzenlemelerin ülkemiz mevzuatıyla uyumu vb.), ilgili ülkede bağımsız veri koruma otoritesinin bulunup bulunmadığı, İlgili ülkenin kişisel verilerin korunması ile ilgili uluslararası antlaşmalara taraf olma ile uluslararası kuruluşlara üye olma durumu, ilgili ülkenin Türkiye’nin üye olduğu küresel ve bölgesel örgütlere üye olma durumu ve ilgili ülke ile yürütülen ticaret hacminin ne olduğu şeklinde 6 temel kriter kabul edilmiştir.