Volgens de AP is het gebruik van gezichtsherkenning in principe verboden, tenzij aan strikte voorwaarden wordt voldaan. Er zijn drie uitzonderingen waarbij de technologie mag worden gebruikt. De eerste uitzondering betreft persoonlijk of huishoudelijk gebruik, zoals het ontgrendelen van een telefoon. De tweede uitzondering geldt voor situaties waarin gezichtsherkenning absoluut noodzakelijk is voor de beveiliging, zoals bij kerncentrales of staatsgeheime informatie. De derde uitzondering is wanneer mensen expliciet en vrijwillig toestemming geven.

Uit het onderzoek van de AP bleek echter dat sommige vakantieparken niet om toestemming vroegen of geen alternatieven boden voor gasten die hun gegevens niet wilden delen. Daarnaast werd vaak niet duidelijk gecommuniceerd hoe lang de biometrische gegevens werden bewaard of met wie ze werden gedeeld.

Monique Verdier, vicevoorzitter van de AP, reageerde scherp op de bevindingen. "Dit is zeer ernstig. Mensen betalen voor een vakantie en worden gedwongen om hun biometrische gegevens af te staan als ze gebruik willen maken van het zwembad. Dit is verboden", verklaarde zij. Het probleem lag vooral in de gebrekkige informatievoorziening en het ontbreken van vrijwillige toestemming. Gasten moesten vaak verplicht hun gezicht laten scannen zonder dat ze een echt alternatief kregen.