KVKK'da 2024 yılında yapılan değişiklikle, kişisel verilerin yurt dışına aktarımına ilişkin rejim önemli ölçüde değişti ve GDPR'a (AB Genel Veri Koruma Tüzüğü) daha yakın bir yapıya kavuştu.
Yeni sistemde veri sorumluları, açık rıza almadan da belirli şartlarla yurt dışına veri aktarabilir: veriyi aktaracağı ülkenin "yeterli korumaya sahip ülke" olarak Kurul tarafından ilan edilmesi, ya da yeterli koruma bulunmayan ülkelere aktarımda "uygun güvencelerin" sağlanması (örneğin Kurul'un onayladığı standart sözleşme hükümlerinin imzalanması, bağlayıcı şirket kurallarının uygulanması) yeterli olabilir.
Bu güvencelerden herhangi biri sağlanamıyorsa, veri sorumlusu ilgili kişiden açık rıza almak veya kanunda sayılan istisnai hallerden birine (örneğin bir sözleşmenin kurulması/ifası için zorunlu olma) dayanmak durumundadır.
Yurt dışında sunucu/bulut hizmeti kullanan, yurt dışı merkezli yazılımlarla çalışan veya çok uluslu şirket yapısı içinde veri paylaşan işletmelerin, bu değişiklikler ışığında mevcut veri aktarım süreçlerini gözden geçirmesi önerilir.