Tak wielkie zainteresowanie konsultacjami wzięło się z tego, że ustawa wpłynie na wszystkie sektory: publiczny, prywatny i pozarządowy. Ma dostosować polskie przepisy do unijnej reformy ochrony danych (RODO), które zaczną obowiązywać już 25 maja. Resortowi cyfryzacji zależy, by zdążyć przed tym terminem, bo projekt ma przepisy ustrojowe, bez których RODO nie będzie mogło prawidłowo funkcjonować. Dotyczą m.in. organizacji i działania Urzędu Ochrony Danych Osobowych.
Mimo tak szerokich konsultacji wciąż wiele kwestii pozostaje niewyjaśnionych. Przykładowo, resort chce obniżyć granicę wieku wyrażenia zgody na przetwarzanie danych do 13. roku życia. Wciąż nie jest jednak jasne, jakie treści powinny być oznaczone jako kierowane do dzieci ani jak sprawdzić, czy osoba wyrażająca zgodę rzeczywiście ma tyle lat, ile podaje. Żądanie skanów dowodów czy aktów urodzenia jest niedopuszczalne.
Doprecyzowano też wyłączenie z zakresu RODO „wypowiedzi w ramach działalności akademickiej, literackiej, artystycznej czy dziennikarskiej". Wciąż jednak niejasna pozostaje kwestia, czy blogerzy są uznawani za dziennikarzy.
Problemy sprawia też określenie, kiedy zaczyna się przetwarzanie danych „na dużą skalę". W przypadku danych medycznych decyduje to o konieczności powołania w jednostce inspektora ochrony danych osobowych (IODO). Ministerstwo nie zdecydowało się też na stworzenie stanowiska zastępcy IODO, co może rodzić problemy w dużych instytucjach.
Z kolei nowy organ ochrony danych będzie zobowiązany wydawać niewiążące decyzje co do organizacyjnych i technicznych sposobów zabezpieczenia danych, co jednych przedsiębiorców cieszy, a innych niepokoi.
