L’art. 25(1) GDPR parla di due fasi in relazione a un’attività di trattamento, cioè “il momento della determinazione dei mezzi per il trattamento” e “il momento del trattamento stesso“.  È evidente che entrambi questi tempi devono essere periodi di tempo di una certa durata molto più che punti nel tempo.  È anche evidente che il momento della determinazione dei mezzi deve precedere il momento della elaborazione stessa.  Chiamiamo quindi questi periodi di tempo anche fasi.

L’art. 4(7) afferma che oltre ai mezzi, il titolare del trattamento “determina anche gli scopi“.  Anche questo evidentemente richiede tempo e precede la determinazione dei mezzi.  Sembra utile includere la determinazione delle finalità per completezza e nel caso in cui ci siano misure che possono essere attuate in quella fase.

Di conseguenza, il GDPR implica il seguente modello di fase di un’attività di trattamento:

Per capire meglio cosa succede esattamente in ogni fase, è necessario analizzare più in dettaglio la concezione che il GDPR ha di un’operazione di trattamento.