Em 14 de agosto de 2018, o então presidente Michel Temer sancionou com veto parcial o Projeto de Lei da Câmara (PLC) 53/2018, que resultou na Lei nº 13.709/2018 — a Lei Geral de Proteção de Dados Pessoais (LGPD). O texto foi publicado no Diário Oficial da União em 15 de agosto de 2018. A norma dispõe sobre o tratamento de dados pessoais e altera a Lei nº 12.965/2014 (Marco Civil da Internet), criando um regime geral de proteção de dados no Brasil.
A lei define dados pessoais, sensíveis e anonimizados, estabelece que o tratamento só pode ocorrer nas hipóteses previstas — como consentimento livre e informado, cumprimento de obrigação legal, execução de políticas públicas, pesquisa, tutela da saúde ou legítimo interesse — e fixa princípios de finalidade, adequação, necessidade, transparência, segurança e responsabilização. Entre os direitos dos titulares estão o acesso, a correção, o bloqueio, a eliminação, a portabilidade e a revogação do consentimento, devendo o controlador responder às solicitações em até 15 dias, sem custos ao cidadão.
O texto se aplica a todas as pessoas físicas e jurídicas que tratem dados no território nacional ou que ofereçam bens e serviços a brasileiros, independentemente da localização da empresa. As organizações deverão obter consentimento explícito, manter registros, elaborar relatórios de impacto à proteção de dados quando o tratamento for baseado em interesse legítimo e nomear um encarregado como canal de comunicação entre controlador e titulares.
O veto parcial mais significativo atingiu a criação da Autoridade Nacional de Proteção de Dados (ANPD), órgão que fiscalizaria a aplicação da lei. Segundo matéria do Senado Federal, a justificativa foi vício de iniciativa, pois a criação de um órgão do Poder Executivo deveria partir de proposta do próprio Executivo. Outros dispositivos vetados incluíram sanções de suspensão de funcionamento de banco de dados e a vedação ao compartilhamento de dados pessoais entre órgãos públicos e pessoas jurídicas de direito privado. O presidente anunciou que enviaria novo projeto para criar a ANPD, o que ocorreria posteriormente por medida provisória.