kuigi määrus sätestab et liikmesriigid jäävad tegutsema operaatoritena ja välised teenusepakkujad on operaatori poolt volitatud inimesed arvan et vastamata on jäänud eraisikute andmete kaitsmine kui nende biomeetrilisi andmeid käsitletakse ja neid vahetatakse