Smittestopp møtte betydelig kritikk, blant annet for at applikasjonen ikke har åpen kildekode, noe som utelukker offentlig innsyn i hvordan den fungerer. Dette er i strid med minstekravene blant annet Chaos Computer Club (CCC) og Reportere uten grenser stiller til slike sporingsprogrammer. CCC frarådet å ta i bruk alle sporingsprogrammer som ikke innfridde kravene, hvoriblant anonym kontaktsporing uten «allvitende sentrale servere» som teknisk like gjennomførbart alternativ. At Smittestopp-dataene ble lagret sentralt i en skyløsning, ble her også omtalt som en sikkerhetsrisiko. Utviklerne av applikasjonen hevdet på sin side at de valgte ikke å ha åpen kildekode av hensyn til personvern og sikkerhet, da det motsatte kunne gi «folk med onde hensikter» en fordel over «myndighetene og befolkningen», fordi kildekoden hadde et potensial i seg til å overvåke enkeltpersoner. De uttalte at sikkerhet gjennom åpen kildekode er en langsom prosess, og at det ikke var tid til å dra nytte av det programmeringssamfunnet vanligvis kunne bidra med.