ll Garante per la protezione dei dati personali, in relazione al fenomeno del proliferare di applicativi di contact tracing, in data 10 agosto 2020 chiarisce che l'emergenza sanitaria "COVID-19 non rappresenta automaticamente, e di per sé, una base giuridica sufficiente volta a incidere su diritti e libertà costituzionalmente protette, legittimando trattamenti di dati particolarmente invasivi, quali appunto quelli atti a consentire il tracciamento dei contatti da parte di qualsiasi titolare pubblico o privato".

Gli unici trattamenti di dati personali che possano essere effettuati sono esclusivamente quelli che trovano il proprio fondamento in una norma di legge nazionale.