Обработка персональных данных - это любое действие с данными о человеке: сбор, запись, хранение, изменение, использование, передача другим лицам, обезличивание или удаление. Даже просто сохранить имя и телефон человека в файле на компьютере - уже обработка в смысле 152-ФЗ, а не только сложные операции вроде анализа базы клиентов.
Закон дает открытый перечень таких действий, среди них: сбор (получение данных, например через форму на сайте), запись и систематизация (занесение в таблицу или CRM), накопление и хранение, уточнение (обновление устаревших данных), извлечение и использование, передача третьим лицам, обезличивание (когда данные перестают позволять определить конкретного человека), блокирование и уничтожение.
Персональными данными при этом считается любая информация, которая прямо или косвенно относится к конкретному человеку - не только паспортные данные, но и, например, номер телефона, email, IP-адрес или фото, если по ним можно установить личность. Если компания собирает такие данные любым способом, она автоматически становится оператором персональных данных со всеми обязанностями по закону: от согласия на обработку до уведомления Роскомнадзора.