Στις 5/7 εστάλη στην Αρχή το σχέδιο νόμου το οποίο, ωστόσο, ψηφίστηκε στις 8/7, χωρίς να περιμένει η Κυβέρνηση τη γνωμοδότηση της Αρχής. Παρά το γεγονός λοιπόν ότι στις 8 Ιουλίου κατατέθηκε σε σχέδιο νόμου του Υπουργείου Δικαιοσύνης και ψηφίστηκε την ίδια μέρα από την Ολομέλεια της Βουλής τροπολογία με σχεδόν ταυτόσημες διατάξεις χωρίς να αναμένεται η σχετική γνωμοδότηση, η Αρχή θεώρησε ότι είχε υποχρέωση να διατυπώσει τις σχετικές παρατηρήσεις της. Σύμφωνα με τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (EE) 2016/679 (ΓΚΠΔ) και του άρθρου 9 του ν. 4624/2019, η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Η παράθεση των περιπτώσεων χρήσης στο σχέδιο νόμου είναι ευρεία, αφού δεν συγκεκριμενοποιεί τις συνθήκες και τις προϋποθέσεις χρήσης της, ούτε τον τρόπο με τον οποίο οι χρήστες της εφαρμογής θα προβαίνουν σε δήλωση ότι θα την χρησιμοποιούν και με βάση ποια διάταξη, δηλαδή ποιο το 4 εφαρμοζόμενο μέτρο που αφορά την κάθε περίπτωση (λαμβάνοντας υπόψη ότι, στην πράξη, δεν θα είναι επιτρεπτή η χρήση της εφαρμογής από όλα τα πρόσωπα που περιγράφονται στην εν λόγω διάταξη παρά μόνο εφόσον συντρέχουν συγκεκριμένες προϋποθέσεις). Επίσης, στην παρ. 3α. αναφέρεται « … ένδειξη σχετικά με την εγκυρότητα, γνησιότητα ή ακεραιότητα». Δεν προσδιορίζεται ποια είναι η ένδειξη που επιστρέφεται, δηλαδή «ναι/όχι/άλλο». Επίσης η αναφορά σε εγκυρότητα, γνησιότητα ή ακεραιότητα φαίνεται μάλλον περιττή διότι η διασφάλιση της εγκυρότητας του εγγράφου περιλαμβάνει τον έλεγχο των άλλων δύο ιδιοτήτων. Η ΑΠΔΠΧ προτείνει ο όρος εγκυρότητανα παραμείνει και να προσδιοριστεί επακριβώς η ένδειξη, την οποία επιστρέφει η εφαρμογή σε όλες τις περιπτώσεις χρήσης της, υπό το φως της αρχής της ελαχιστοποίησης των δεδομένων (άρθρο 5 παρ. 1 στοιχ. γ’ του ΓΚΠΔ), έτσι ώστε να διασφαλίζεται ότι στους χρήστες της εφαρμογής δεν θα γνωστοποιείται περισσότερη πληροφορία από ό,τι είναι αναγκαίο για την επίτευξη του σκοπού επεξεργασίας. Ειδικότερα, ο σκοπός του ελέγχου των πιστοποιητικών είναι να είναι «υγειονομικά ασφαλής» ο πολίτης που εισέρχεται σε ένα χώρο, με τον τρόπο που η ασφάλεια αυτή ορίζεται στην κάθε περίπτωση. Συνεπώς, η επαλήθευση των πιστοποιητικών μέσω της εφαρμογής θα πρέπει να οδηγεί σε ένα αποτέλεσμα της μορφής «ναι/όχι» (π.χ. πράσινο ή κόκκινο χρώμα), επιπλέον της ταυτότητας του κατόχου τους, έτσι ώστε να εξάγεται η πληροφορία αν ο πολίτης που εισέρχεται σε ένα χώρο είναι «υγειονομικά ασφαλής», χωρίς όμως να αποκαλύπτονται ειδικότερες πληροφορίες σχετικά με το εάν έχει εμβολιαστεί, έκανε τεστ ή έχει νοσήσει προηγουμένως από λοίμωξη με COVID-19. Τέλος, δεν παρέχονται επαρκή στοιχεία που να διασαφηνίζουν το λόγο για τον οποίο ορίζονται το Υπουργείο Υγείας και η Γενική Γραμματεία Πολιτικής Προστασίας ως υπεύθυνοι επεξεργασίας, αφού τα δεδομένα της παρ. 3α αφορούν το αποτέλεσμα από τον τρόπο λειτουργίας της εφαρμογής μόνο. Εξάλλου, δεν προσδιορίζεται με ποιο τρόπο και για ποια επεξεργασία το Υπουργείο Υγείας και η Γενική Γραμματεία Πολιτικής Προστασίας καθορίζουν το σκοπό και τα μέσα της επεξεργασίας, καθώς επίσης και ποιος ο ρόλος τους στην άσκηση των δικαιωμάτων των υποκειμένων, ώστε να δικαιολογείται ο χαρακτηρισμός τους ως αυτοτελώς Υπευθύνων Επεξεργασίας.