เมื่อเจ้าของข้อมูลส่วนบุคคลร้องขอเข้าถึงหรือขอรับสำเนาข้อมูลส่วนบุคคล องค์กรไม่ได้มีหน้าที่เพียง “ค้นข้อมูลแล้วส่งให้”

แต่ต้องสามารถบริหารจัดการคำขอได้อย่างเป็นระบบ ตั้งแต่ การรับคำขอ การตรวจสอบและยืนยันตัวตนหรืออำนาจในการร้องขอ การค้นหาข้อมูล การพิจารณาขอบเขตการเปิดเผย การปกปิดข้อมูลของบุคคลอื่น ไปจนถึงการส่งมอบและจัดเก็บหลักฐาน

เพราะมาตรา 30 กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลดำเนินการตามคำขอโดยไม่ชักช้า และในกรณีที่ไม่เข้าข่ายเหตุปฏิเสธ ต้องดำเนินการให้แล้วเสร็จ ภายใน 30 วันนับแต่วันที่ได้รับคำขอ

ดังนั้น สิ่งที่องค์กรต้องมีไม่ใช่เพียง “แบบฟอร์ม DSAR” แต่คือ กระบวนการที่สามารถปฏิบัติได้จริงและตรวจสอบย้อนหลังได้