Determina, además que el tratamiento de datos personales deberá limitarse al cumplimiento de las finalidades previstas en el aviso de privacidad que se le haga a las personas, y en caso de que se pretenda utilizar los datos para fines distintos de los establecidos en el aviso de privacidad, se deberá obtener para ello el consentimiento del titular de la información.

Así mismo establece que todo tratamiento de datos personales estará sujeto al consentimiento de su titular, salvo ciertas excepciones tales como que los datos figuren en fuentes de acceso público, los datos personales se sometan a un procedimiento previo de disociación; tenga el propósito de cumplir obligaciones derivadas de una relación jurídica entre el titular y el responsable; exista una situación de emergencia que potencialmente pueda dañar a un individuo en su persona o en sus bienes; sean indispensables para la atención médica, la prevención, diagnóstico, la prestación de asistencia sanitaria, tratamientos médicos o la gestión de servicios sanitarios, mientras el titular no esté en condiciones de otorgar el consentimiento, y que dicho tratamiento de datos se realice por una persona sujeta al secreto profesional u obligación equivalente, o en los casos en que se dicte resolución de autoridad competente al respecto.

La ley aprobada por el Senado establece sanciones administrativas y penales para quienes hagan mal uso de la información personal que traten.

El proyecto de decreto aprobado fue turnado al Ejecutivo Federal para sus efectos constitucionales.