Il trattamento dei dati personali indica qualsiasi operazione eseguita sui dati personali: raccolta, registrazione, organizzazione, conservazione, modifica, recupero, utilizzo, divulgazione, condivisione o cancellazione. Ai sensi del GDPR, il termine è volutamente ampio, perché il rischio può sorgere in qualsiasi fase del ciclo di vita dei dati, non solo quando i dati vengono rubati.
In ambito di cybersecurity, questo è importante perché molti controlli sono in realtà controlli di trattamento. I log di accesso, i backup cloud, le pipeline di addestramento dell'IA, le dashboard di analisi e i ticket di assistenza possono tutti coinvolgere il trattamento di dati personali e quindi richiedere una base giuridica, una finalità chiara, limiti di accesso e regole di conservazione. Gli aggressori spesso prendono di mira i sistemi di trattamento per esfiltrare, riutilizzare o monetizzare i dati personali, mentre i difensori riducono l'esposizione minimizzando la raccolta, cifrando i record archiviati, separando gli ambienti e rendendo il consenso o le impostazioni di opt-out facili da verificare. In prodotti come dispositivi intelligenti e servizi di IA, il modo in cui i dati vengono trattati può diventare allo stesso tempo un problema di sicurezza e di conformità.