Data pribadi sebagai sebuah komoditas dimungkinkan untuk dilakukan monetisasi melalui berbagai metode valuasi. Menurut Palandri (2020), metode valuasi atas data pribadi dapat ditempuh dalam tiga cara pendekatan. Pertama, melalui pendekatan market-based approach, di mana data pribadi sebagai intangible asset akan dikalkulasi melalui pendekatan penawaran, misalnya dengan menggunakan harga transaksi yang disepakati dalam suatu merger.
Metode kedua yaitu cost-based approach, penentuan harga sebuah data pribadi akan dinilai berdasarkan bagaimana cara pengendali data pribadi mengumpulkan, menganalisis, atau menyimpan data pribadi tersebut. Terakhir, metode yang dapat digunakan untuk menentukan valuasi terhadap data pribadi yaitu menggunakan cash flow-based approach yang menghitung valuasi data berdasarkan nilai manfaat data tersebut terhadap kondisi keuangan korporasi. Dengan dimungkinkannya valuasi terhadap data pribadi, maka transaksi atas data pribadi pada proses aksi korporasi dapat terjadi, sehingga fleksibilitas pengalihan pengendalian akibat dari aksi korporasi juga dapat terjadi.
Apa yang terjadi setelah terjadi transaksi pengalihan kendali data pribadi dari entitas target aksi korporasi kepada pihak lain? Aspek persaingan usaha memiliki catatan untuk mendapat perhatian terkait hal ini. Setelah terjadi peralihan pengendalian data pribadi akibat aksi korporasi, maka akan terjadi penambahan konsentrasi data pribadi pada suatu entitas.
Dalam hal suatu entitas telah memiliki konsentrasi pengendalian data pribadi yang tinggi, menurut Lüth dan Dawenter (2016) akan menimbulkan dampak langsung terhadap kompetisi di pasar bersangkutan, misalnya menjadi hambatan masuk pasar (entry market barrier) bagi kompetitor yang tidak dapat melakukan hal yang serupa. Selain itu, akan terjadi peningkatan skala ekonomi (economies of scale) pada saat suatu entitas dengan modal besar dapat melakukan pengumpulan data pribadi dalam jumlah besar dan menerapkan monopoli. Kondisi demikian akan menjadikan entitas pengendali data pribadi tersebut memiliki posisi dominan sehingga menjadikan kompetitor tidak dapat berkompetisi dengan efektif pada pasar bersangkutan.
Dalam rangka menjamin berlangsungnya kompetisi dengan baik, maka perlu perhatian dari KPPU untuk juga menilai aset berupa data pribadi pada saat pelaksanaan aksi korporasi. Peluang tersebut terbuka dalam Peraturan KPPU No. 3/2023 dengan dapat dilakukannya penilaian menyeluruh dari sisi hambatan masuk pasar, potensi perilaku anti persaingan, dan pelaksanaan peraturan perundang-undangan yang menjadi akibat atau berkaitan dengan terkosentrasinya pengendalian data pribadi pasca aksi korporasi. KPPU dalam proses penilaian harus melibatkan lembaga pelindungan data pribadi yang akan segera dibentuk untuk memastikan pemenuhan prinsip pelindungan data pribadi.
UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) tidak melarang penempatan data pribadi sebagai sebuah objek transaksi dalam konteks jual beli. Hal ini memberi keleluasaan bagi pengendali data pribadi untuk mengklasifikasikannya sebagai aset lalu mengalihkannya kepada pihak lain dalam kerangka aksi korporasi. Namun yang perlu menjadi perhatian, transfer data pribadi tersebut harus memastikan pemenuhan hak subjek data pribadi. UU PDP mengamanatkan bahwa pihak yang melakukan dan menerima transfer wajib untuk memberikan pemberitahuan kepada subjek data pribadi perihal terjadinya suatu aksi korporasi.
Hak subjek data pribadi dalam konteks ini perlu mendapatkan perhatian. Terkonsentrasinya data pribadi pada suatu korporasi terjadi karena peralihan pengendalian baik karena jual beli atau kerja sama tertentu. Dari sudut pandang UU PDP, proses terkonsentrasinya data pribadi tersebut harus didasarkan pada prinsip PDP, misalnya pihak yang memberikan data pribadi harus memastikan bahwa pada pengumpulan data pribadi pertama kali telah memiliki dasar pemrosesan serta memberikan informasi yang cukup pada subjek data pribadi bahwa kelak data pribadi yang disampaikan oleh subjek data pribadi tersebut akan ditransfer kepada pengendali data pribadi lainnya melalui suatu aksi korporasi. Selain itu, menurut UU PDP setiap badan hukum yang melakukan aksi korporasi wajib memberikan pemberitahuan kepada subjek data pribadi mengenai hal tersebut sebelum dan sesudah berlangsungnya aksi korporasi.