По коду можно проверить отдельные технические механизмы: разграничение доступа, маскирование журналов, удаление записей, шифрование, обработку согласий — если сформулировано конкретное требование и представлены относящиеся к нему конфигурации. Эксперт указывает, где механизм реализован и как он действует в исследованной версии.
Но по одному репозиторию нельзя сделать общий вывод о соблюдении ФЗ-152 или GDPR. Законодательные требования охватывают цели и основания обработки, роли участников, состав данных, сроки хранения, документы, организационные меры и фактическую эксплуатацию. Безопасность продукта зависит также от инфраструктуры, управления ключами, обновлений и действий персонала. Проверка кода устанавливает только названные технические факты, а правовую оценку с учётом всех материалов даёт суд или юрист.