Le traitement proprement dit est lancé par le feu vert donné par le responsable du traitement aux ressources pour commencer à exécuter les instructions émises.  C’est à partir de ce moment que le traitement des données personnelles réelles commence à avoir lieu. À savoir, il est exécuté par les ressources désignées qui suivent les instructions du responsable du traitement.

Le traitement lui-même prend fin lorsqu’il n’y a plus de données à caractère personnel traitées.  Considérant que, conformément à l’art. 4, paragraphe 2, du RGPD, le stockage de données à caractère personnel constitue un traitement, la fin du traitement proprement dit va au-delà du simple fait de dire aux ressources de cesser d’exécuter les instructions émises. Elle nécessite également des instructions supplémentaires pour s’assurer que les données à caractère personnel ne sont plus stockées.  Nous appelons cela le démantèlement des opérations de traitement.  Le démantèlement englobe l’effacement et la destruction des données à caractère personnel, qui constituent toujours un traitement au sens de l’article 4, paragraphe 2. 4(2).

L’art. 25(1) exige que les responsables du traitement mettent également en œuvre les mesures techniques et organisationnelles appropriées pendant le traitement lui-même.  Par analogie à la détermination des moyens, la structure trouvée pour le traitement lui-même sera utilisée pour guider la discussion des mesures.