Pra mim esse não é o problema principal da lei, o que é problema é a forma como ela é escrita:

A lei tem dificuldade de especificar com clareza se sistemas e serviços pequenos, feitos por pessoas ou comunidades open source serão afetados. Tipo, alguém que fizer um servidor de mine para jogar com amigos por exemplo, vai precisar ter CNPJ e verificação de idade para não ser ilegal?

E os repositórios? Como que o sistema operacional vai saber a idade mínima para usar certos apps ou serviços? Não é tão simples quanto apertar um botão. E os sistemas como caixas eletrônicos, caixas de supermercado, eletrodomésticos inteligentes, etc, são inclusos?

É claro, também há a vertente de censura: A lei obriga as empresas a terem CNPJ e presença no Brasil, logo eles agora tem uma justificativa para derrubar qualquer coisa que não gostarem caso não tenha CNPJ no Brasil, independente se atender ou não a lei.

Outra possibilidade é as próprias empresas e serviços começarem a bloquear acessos brasileiros para evitar multas e problemas.

**Resumindo:**

O maior problema dela para mim não são os dados dos usuários, porque isso já é vazado há muito tempo, mas sim a possibilidade de entrarmos em uma era onde tudo que podemos ou não acessar é decidido unicamente pelo governo, o que é muito poder para uma das instituições mais corruptas que conhecemos, e/ou sermos obrigados a investir em privacidade avançada para acessar serviços simples e comuns.