Domstolen kritiserte til slutt at direktivet ikke hadde bestemmelser om at dataene skulle lagres på territoriet til en EU-stat. Direktivet sikret derfor ikke at en uavhengig myndighet hadde kontroll med om kravene til beskyttelse og sikkerhet i direktivet slik EU-chartere krever. En slik kontroll er vesentlig for å kunne sikre beskyttelsen av personer i forbindelse med behandling av personopplysninger.