Die republikanischen Unterstützer betonen in einer Pressemitteilung, der Entwurf enthalte eine belastbare Klausel zur Datensparsamkeit: Die Erhebung personenbezogener Daten werde auf das beschränkt, was für die gegenüber den Verbrauchern offengelegten Zwecke „angemessen, relevant und vernünftigerweise notwendig" sei. Sensible Daten dürften nur mit Einwilligung verarbeitet werden, und Verbraucher erhielten das Recht zu erfahren, dass ihre Daten erhoben und genutzt werden, diese zu löschen und eine portable Kopie davon zu erhalten.
Zudem soll die US-Handelsbehörde FTC ein Register für Datenhändler einrichten, das eine Suchfunktion enthält, über die Verbraucher Datenhändler und deren Datenschutzrichtlinien nachschlagen können. Ausschussvorsitzender Brett Guthrie (Republikaner, Kentucky) erklärte, das Gesetz schaffe „klare, durchsetzbare Schutzmaßnahmen, damit die Amerikaner Herr ihrer eigenen Daten bleiben und Unternehmen für deren sichere Aufbewahrung zur Verantwortung gezogen werden".
Datenschützer halten dagegen, die begrenzten Schutzmaßnahmen würden durch zu weit gefasste Formulierungen, eng definierte Kategorien und mehrere Vorbehalte entwertet. Eric Null, Direktor des Privacy and Data Project beim Center for Democracy and Technology, kritisiert die Definition sensibler Daten als lückenhaft: Als sensible Gesundheitsdaten gälten nur Diagnosen, womit etwa Daten von Zyklus-Tracking-Apps und anderer Gesundheitstechnik ausgenommen seien. Auch die Inhalte von Kommunikation sowie Finanzdaten bei Nicht-Finanzinstituten blieben ungeschützt.
Die Regelung zur Datensparsamkeit sei schwach, so Null, weil die Formulierung „angemessen, relevant und vernünftigerweise notwendig" breit und damit für Unternehmen leicht zu umgehen sei. Neunzehn Bundesstaaten hätten bereits ähnliche Vorgaben, und „an den Datenschutzpraktiken von Online-Unternehmen hat sich nichts geändert". Besonders schwer wögen das Fehlen eines individuellen Klagerechts und die Verdrängung mehrerer strenger einzelstaatlicher Datenschutzgesetze.
Das geplante Datenhändler-Register hält Null für wenig nützlich, da Verbraucher weiterhin Hunderte Datenhändler einzeln kontaktieren müssten. Der frühere Entwurf, der American Privacy Rights Act, habe von der FTC ein „Do Not Collect"-Register verlangt, über das Verbraucher sich mit einem Schritt gegen alle Datenhändler hätten schützen können.
Kritisch sieht Null auch die zahlreichen Ausnahmen, etwa für Daten, die bei der Anforderung eines Dienstes, im Rahmen eines Vertrags oder bei der Entwicklung und Verbesserung von Produkten anfallen. Letztere erlaube die Datenerhebung für KI-Training. Die Ausnahmen seien „ein Schlupfloch, groß genug, um das Gesetz vollkommen zahnlos zu machen", da Unternehmen argumentieren könnten, nahezu alle ihre Datenpraktiken dienten angeforderten Diensten oder beruhten auf Verträgen — wozu auch Datenschutzrichtlinien zählen könnten.
Cobun Zweifel-Keegan, Managing Director bei der IAPP, wies auf LinkedIn darauf hin, dass der Entwurf das Recht Kentuckys, an das er sich stark anlehnt, um einige Punkte ergänzt: die Behandlung von Daten Jugendlicher als sensibel mit Einwilligungspflicht, einen Abschnitt zu grenzüberschreitenden Datentransfers sowie einen Verhaltenskodex. Zugleich erwähne das Gesetz automatisierte Entscheidungstechnik mit keinem Wort und empfehle für universelle Opt-out-Mechanismen lediglich eine Studie, statt sie vorzuschreiben.
„Dieser Entwurf ist nur dem Namen nach ein Datenschutzgesetz und könnte realen Schaden anrichten", erklärte Cody Venzke, leitender Anwalt der ACLU. Er bürde normalen Menschen auf, sich durch Berge von Datenschutzrichtlinien zu kämpfen, und lasse ihnen keinen wirksamen Rechtsweg.
Der Ausschuss veröffentlichte zudem einen zweiten Entwurf zu Finanzdaten, den GUARD Financial Data Act, der viele der gleichen Schutzmaßnahmen auf Finanzinstitute überträgt.