เริ่มจากการสำรวจภาพรวมก่อนว่าเก็บ ใช้ เปิดเผยข้อมูลส่วนบุคคลที่ไหนบ้าง จากนั้นจึงวิเคราะห์ช่องว่าง (Gap Analysis) เพื่อกำหนดลำดับความสำคัญ ว่าควรจัดทำนโยบาย ปรับปรุงเอกสาร หรือวางขั้นตอนปฏิบัติส่วนใดก่อน

ขึ้นอยู่กับขนาดองค์กร โครงสร้างระบบงาน และขอบเขตข้อมูลที่เกี่ยวข้อง โดยทั่วไปจะอยู่ในช่วงไม่กี่สัปดาห์ไปจนถึงหลายเดือน ซึ่งเราจะช่วยออกแบบ Roadmap ให้เหมาะสมกับทรัพยากรและกำหนดเวลาขององค์กร

บางประเภทขององค์กรมีหน้าที่ต้องแต่งตั้ง DPO ตามกฎหมาย แต่แม้จะไม่เข้าข่าย ก็ควรมีผู้รับผิดชอบหลักด้าน PDPA อย่างชัดเจน ซึ่งอาจเป็นบุคลากรภายใน หรือใช้บริการ Outsourced DPO จากภายนอกก็ได้