Обработка персональных данных - это любое действие с данными человека: сбор, запись, хранение, использование, передача, изменение, удаление. Даже простой звонок клиенту по номеру из заявки уже требует обработки, потому что номер сначала нужно было получить, записать и сохранить - закон регулирует именно эти действия, а не только хранение готовой базы.
Нужна обработка потому, что без нее не работает практически ни один процесс: чтобы оформить заказ, нужно записать имя и адрес доставки, чтобы нанять сотрудника - оформить трудовой договор с его паспортными данными и СНИЛС, чтобы отправить рассылку - хранить список email. Бизнес не может функционировать, не работая с данными людей хоть в каком-то объеме.
Закон не запрещает обработку как таковую, а требует делать ее законно: для каждой цели должно быть основание - согласие человека, договор с ним, требование другого закона (например, налогового или трудового). Обработка ради самой обработки, без понятной цели и без основания, - это и есть то, что чаще всего находят при проверках.
Практический вывод для бизнеса: прежде чем собирать какие-либо данные, стоит четко сформулировать, зачем именно они нужны, и не собирать лишнего про запас - лишние поля в форме увеличивают и ответственность, и риск при утечке, а пользы обычно не приносят.