Smittestopp var frivillig å laste ned og bruke, og «lokasjonsdata» skulle etter forskriften bli slettet etter 30 dager. Andre personopplysninger om en deltager skulle «slettes eller anonymiseres» når vedkommende «fjerner applikasjonen fra sin mobiltelefon». Datatilsynet fremholdt nødvendigheten av frivillighet og transparens, ettersom sporingsverktøyet innebærer mange potensielt negative følger for personvern, slik at tydelig og fullstendig informasjon om hvilke opplysninger som samles inn, lagringstid og hvilket formål dataene skal brukes til, burde fremgå for brukeren. Helse- og omsorgsdepartementet oppnevnte 8. april 2020 en ekspertgruppe til å gå igjennom kildekoden og vurdere eventuelle sårbarheter, samt vurdere hvorvidt "sikkerhet og personvern [var] forsvarlig ivaretatt". Datatilsynet kunngjorde på sine nettsider 27. april 2020 at de har åpnet en kontrollsak og skal gjennomgå hvordan applikasjonen samler inn og lagrer personopplysninger.