Ce texte comporte des avancées considérables, mais suscite également quelques interrogations. Tout d'abord, on peut comprendre que la Commission européenne ait fait le choix d'un règlement plutôt que d'une directive, pour que le niveau de protection soit partout le même. Mais s'agira-t-il d'un plafond ou d'un plancher ? L'harmonisation exclut-elle le maintien de dispositions nationales plus protectrices ?
Ensuite, le projet renvoie très fréquemment à des actes délégués ou d'exécution de la Commission européenne. En la matière, les principes ne devraient-ils pas être énoncés par la législation européenne, et les décisions plus techniques prises par les autorités nationales regroupées au sein du G 29 ?
Enfin, selon le principe du guichet unique, une seule autorité de contrôle sera compétente. Mais les plaignants risquent ainsi d'être renvoyés vers l'autorité d'un autre pays, même si elle assure un contrôle moins rigoureux que l'autorité nationale. L'adage veut pourtant que l'on n'administre bien que de près. En outre, on peut se demander si certaines autorités - par exemple celle de l'Irlande, où est implantée Facebook - seront en mesure de traiter les demandes très nombreuses qui leur seront faites. Ne faudrait-il pas plutôt privilégier une gestion de proximité, plus acceptable par les opinions publiques ? Pourquoi ne pas rendre compétente l'autorité du pays où réside le plaignant, comme dans le droit de la consommation ?