Ketiga, Wahyudi berpendapat RPP PDP banyak mengatur pengendali/prosesor data dari korporasi. Proses penyusunan draf RPP ini terkesan cenderung mengutamakan pelibatan sektor privat. Padahal tujuan utama hukum pelindungan data pribadi adalah melindungi hak-hak subjek data, sebagai bagian dari hak konstitusional warga negara. Oleh karenanya, subjek data mestinya dapat dilibatkan secara aktif dalam proses penyusunan RPP ini, agar produk akhirnya dapat mengakomodasi secara baik kepentingan dari subjek data.
Pelibatan subjek data ini menurut Wahyudi dapat diwakili oleh organisasi masyarakat sipil, kelompok konsumen sebagai pengguna layanan, kelompok rentan, pendamping konsumen, asosiasi-asosiasi profesi, dan pihak-pihak lain yang selama ini datanya dikumpulkan dan diproses, yang seharusnya menjadi sentral dalam politik hukum perumusan hukum pelindungan data pribadi.
Sebelumnya Co Founder dan Pengurus Asosiasi Praktisi Pelindungan Data Indonesia (APPDI), Ardhanti Nurwidya mengatakan, setidaknya terdapat tiga jenis perusahaan atau institusi yang harus memiliki data protection officer (DPO) di dalam perusahaan atau instansinya. Ketiganya yaitu para pelayan publik, pengelola data berskala besar, dan pengelola data spesifik.
“Pelayan publik harus duluan yang wajib punya DPO, baru setelah itu pengelola data skala besar karena semakin banyak user yang dimiliki otomatis skalanya jadi besar. Lalu bagi instansi atau organisasi yang memiliki data spesifik yang sifatnya kalau bocor bisa membahayakan si subjek data, maka harus diproteksi secara berlapis sehingga pengelola data spesifik wajib memiliki DPO,’’ ujar Dhanti kepada Hukumonline dalam Talkshow Privacy Day bertema Structuring your Privacy Office in Theory and Practice, Jum’at (26/1/2024).