L’art. 25(1) du RGPD parle de deux phases en relation avec une activité de traitement, à savoir “le moment de la détermination des moyens de traitement” et “le moment du traitement lui-même“.  Il est évident que ces deux moments doivent être des périodes de temps d’une certaine durée plutôt que des points dans le temps.  Il est également évident que le moment de la détermination des moyens doit précéder le moment du traitement lui-même.  Nous appelons donc ces périodes de temps également des phases.

L’art. 4(7) stipule qu’en plus des moyens, le responsable du traitement “détermine également les finalités“.  Cela prend évidemment du temps et précède la détermination des moyens.  Il semble utile d’inclure la détermination des finalités par souci d’exhaustivité et au cas où des mesures pourraient être mises en œuvre au cours de cette phase.

Par conséquent, le RGPD implique le modèle de phase suivant d’une activité de traitement :

Pour mieux comprendre ce qui se passe exactement dans chaque phase, il est nécessaire d’analyser plus en détail ce que le RGPDdéfinit comme un traitement.