A Lei havia sido sancionada inicialmente com 13 vetos e o Congresso derrubou seis deles.
A nova lei diz que, entre as competências da Autoridade Nacional de Proteção de Dados, estão zelar pela proteção dos dados pessoais e aplicar sanções em caso de tratamento de dados realizado de forma irregular.
Entre os dispositivos retomados pelo Congresso, estão o que prevê a "suspensão parcial do funcionamento do banco de dados a que se refere a infração pelo período máximo de 6 (seis) meses, prorrogável por igual período, até a regularização da atividade de tratamento pelo controlador; e o que prevê a "suspensão do exercício da atividade de tratamento dos dados pessoais a que se refere a infração pelo período máximo de 6 (seis) meses, prorrogável por igual período".