Dans sa délibération du 11 décembre 2007, la Commission nationale de l'informatique et des libertés a considéré que « le traitement, sous une forme automatisée et centralisée de données telles que les empreintes digitales ne peut être admis que dans la mesure où des exigences de sécurité ou d'ordre public le justifient ». C'est la raison pour laquelle la CNIL privilégie le stockage des données sur un support individualisé, la carte nationale d'identité ou le passeport eux-mêmes, et non sur une base de données centralisée. De même, au plan européen, le groupe des commissaires en charge de la protection des données (« groupe de l'article 29 ») a rendu un avis très circonstancié, le 11 août 2004, sur les questions que soulève, au regard des principes de protection des données, la création d'une base centralisée de données biométriques. En effet, s'il estime admet l'insertion de la photo et des empreintes digitales dans la puce sans contact du support papier restant en possession du titulaire, en revanche, le groupe a exprimé de sérieuses réserves sur la conservation des données biométriques, telles que les empreintes digitales, dans des bases de données (au-delà de la période nécessaire aux contrôles légaux pour la délivrance des documents, à leur production et à leur remise aux demandeurs).  Enfin, l’arrêt "S. et Marper c. Royaume-uni" du 4 décembre 2008 de la Cour européenne des droits de l'Homme (requêtes n° 30562-04 et n° 30566-04) précise que "la conservation des empreintes digitales, échantillons biologiques et profils ADN des personnes non condamnées s'analyse en une atteinte disproportionnée au droit à la vie privée et ne peut passer pour nécessaire dans une société démocratique".