1．感染症法上の規定
対策の起点は医師の感染者等発生時の届出義務だが（12条）、その後の転帰や病床の状況などは届出の対象となっていないため、通達に基づく任意の調査依頼という形で処理されている。また、疑似症患者をどこまで届出対象とするかも、HER-SYSとの関連もあり問題となっている。
公衆衛生当局が積極的に情報を取得するのが、積極的疫学調査である（15条）。しかし、調査の対象が患者や「その他の関係者」に限られており、従来型の接触者追跡には十分であろうが、通信事業者への情報提供要請やアプリを利用した接触追跡の根拠規定としては不十分である。自治体から厚労省への報告も範囲が狭く（15条8項）、厚労相による情報収集は法的根拠を欠くものとなっている。
全国的な感染蔓延状況では、政府レベルでの情報集約と分析により合理的な対策を打ち出す必要がある。情報収集の対象や厚労省の権限が狭いことは、立法論的な課題である。

2．デジタル接触追跡と個人情報・プライバシー
日本の接触確認アプリCOCOAは、個人に到達できない識別子を携帯電話のローカルに保存する仕組みであり、プライバシーへの影響は極小化されている。
海外では、電話番号を衛生当局が取得するアプリや、GPS位置情報やクレジットカード等の履歴を組み合わせて追跡する等、プライバシーへの影響が強い方式も取られている。このような手法を日本で採用する場合、まず問題になるのは個人情報保護法である。同意によるか、法令の根拠を設けるか、同意取得が困難であるとして公衆衛生例外によることになる。積極的疫学調査の一環として法令の根拠（感染症法15条）があるとの整理も、検討の余地は一応ある
その上で、憲法上のプライバシー権侵害が問題となり、公衆衛生上の必要性と、本人が受ける不利益や適切な情報収集・利用を担保する仕組みの比較衡量により、実質的に判断されることになる。