El art. 25(1) del RGPD habla de dos fases en relación con una actividad de tratamiento, a saber, “el momento de la determinación de los medios para el tratamiento” y “el momento del propio tratamiento“.  Es evidente que ambos momentos deben ser periodos de tiempo de cierta duración y no puntos en el tiempo. También es evidente que el momento de la determinación de los medios debe preceder al momento de la transformación propiamente dicha.  Por lo tanto, llamamos a estos períodos de tiempo también fases.

El art. 4(7) establece que, además de los medios, el responsable del tratamiento también “determina los fines“. Evidentemente, esto también lleva tiempo y precede a la determinación de los medios.  Parece útil incluir la determinación de los fines para completarla y en caso de que haya medidas que puedan aplicarse en esa fase.

En consecuencia, el RGPD implica el siguiente modelo de fases de una actividad de tratamiento:

Para entender mejor qué ocurre exactamente en cada fase, es necesario analizar con más detalle qué concepción tiene el RGPD de una operación de tratamiento.