Die Kritiker stützen sich dabei auf eine Untersuchung des norwegischen Verbraucherverbands. Wenn zum Beispiel „Cayla“ online ist, können Kinder der Puppe Fragen stellen. Eine spezielle App wandelt die Sprache in Text um, sucht eine Antwort im Internet und lässt die Puppe antworten. Als mögliche Fragen nennt die Firma „Vivid“, die die Figur in Deutschland vertreibt, „Soll ich mir die Nägel lackieren?“ oder „Wo ist der Eiffelturm?“.

Nach Darstellung der Verbraucherschützer kann sich jeder in der Nähe über eine Bluetooth-Funkverbindung mit den Puppen verbinden und sie als eine Art Headset für das Smartphone nutzen. So könnten auch Fremde mit den Kindern kommunizieren, argumentieren sie. Zudem verstoßen die Nutzungsbedingungen aus ihrer Sicht gegen EU-Recht: Kunden müssen demnach vor dem Gebrauch erlauben, dass die Bedingungen später ohne ihr Wissen geändert werden, ihre Daten für persönliche Werbung genutzt und dass Informationen weitergereicht werden.

Alles, was Kinder den Puppen erzählen, werde an eine US-Firma weitergereicht, die auf Spracherkennung spezialisiert sei und die Daten auch an Dritte weitergeben und umfassend nutzen dürfe. Außerdem seien die Produkte auf Schleichwerbung programmiert: Cayla etwa erzähle, wie sehr sie Disney-Filme liebe. Die Sprachaufnahmen seien allerdings verschlüsselt und auch der überwiegende Großteil der Datenübermittlung sei mit Verschlüsselung geschützt.

Verbraucherverbände in Norwegen, Frankreich, Schweden, Griechenland, Belgien, Irland und den Niederlanden wollen laut Beuc Beschwerde bei nationalen Verbraucherschutz- oder Datenschutzbehörden einreichen. Beuc wendet sich an die EU-Kommission und das europäische Gremium nationaler Datenschützer. „Vivid“ äußerte sich auf Anfrage der Deutschen Presse-Agentur zunächst nicht zu den Vorwürfen.