Je pense que, dans ce domaine, le RGPD est suffisamment complet : le traitement ne peut être totalement automatisé et algorithmique, sauf si les utilisateurs en sont pleinement informés et peuvent formuler certaines demandes. Demande de retrait ou, à défaut, avis défavorable.