Обработка - это любое действие или совокупность действий с персональными данными, а не что-то одно конкретное. Закон перечисляет их через запятую: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление и уничтожение. Проще говоря, если вы что-то делаете с данными клиента - от момента, когда он оставил заявку, до момента, когда вы удалили его карточку из CRM, - это все охватывается одним словом «обработка».
Отдельно закон различает автоматизированную обработку (когда данные проходят через программы и базы данных) и неавтоматизированную (например, бумажные анкеты в папке). Требования 152-ФЗ распространяются на оба случая, хотя технические меры защиты для них, конечно, разные.
Практический вывод для бизнеса: в политике обработки персональных данных и в уведомлении в Роскомнадзор нужно указывать не одно действие, а весь набор операций, которые вы реально совершаете с данными - включая передачу подрядчикам вроде бухгалтерии на аутсорсе или сервиса рассылок, потому что передача тоже входит в понятие обработки и требует законного основания.