Belangenorganisatie Privacy First vindt dat er te veel uitzonderingen gelden voor kleine ondernemers waardoor zij niet hoeven te voldoen aan de DPIA (Data Protection Impact Assessment). Volgens Privacy First schaden die uitzonderingen de privacy-belangen van burgers.