Kişisel Verileri Koruma Kurumu Başkanlığı Hukuk İşleri Dairesi Başkanlığı'nın 20/10/2025 tarihli cevabi yazısında, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 9. maddesine atıfta bulunulmaktadır. Bu madde, kişisel verilerin yurt dışına aktarılabilmesi için ya ilgili ülkede yeterli korumanın bulunması ya da taraflarca sağlanan ve Kurul tarafından onaylanan uygun güvencelerin (uluslararası sözleşme, bağlayıcı şirket kuralları, standart sözleşme, yazılı taahhütname vb.) varlığını şart koşmaktadır. İddianameye göre, KVKK'nın yazısında, kurum kayıtlarında yapılan inceleme sonucunda, İstanbul Büyükşehir Belediyesi ve iştiraklerinin, kişisel verilerin yurt dışına aktarılması amacıyla kanunda belirtilen bu mekanizmalardan herhangi biri için Kurum'a bir başvuru veya bildirim yapmadığı açıkça ifade edilmiştir. Savcılık, bu durumu, "İstanbul Senin" uygulaması aracılığıyla toplanan 4.7 milyon kullanıcının verilerinin Amerika ve Almanya merkezli platformlara gönderilmesinin yasa dışı olduğunu kanıtlamak için kullanmaktadır. Ayrıca, Kanun'un 8. maddesi uyarınca veri aktarımı için gereken ilgili kişinin açık rızasının da alınmadığı, dolayısıyla eylemin her açıdan hukuka aykırı olduğu iddia edilmektedir.