Проверить сайт своими силами можно по шести пунктам. Первый - на сайте опубликована политика конфиденциальности (или политика обработки персональных данных), она доступна по прямой ссылке, а не спрятана внутри другого документа. Второй - рядом с каждой формой, которая собирает имя, телефон или email, стоит чекбокс согласия на обработку, не отмеченный по умолчанию, со ссылкой на эту политику.
Третий пункт - компания подала уведомление об обработке персональных данных в Роскомнадзор до начала работы с формами; проверить свой статус оператора можно в реестре на сайте pd.rkn.gov.ru по ИНН. Четвертый - если на сайте есть счетчики или виджеты, которые передают данные пользователей за рубеж (некоторые зарубежные аналитические сервисы или чаты), стоит отдельно посмотреть, куда конкретно уходят данные - тут действует требование о нахождении баз данных граждан РФ на серверах в России.
Пятый пункт - cookie-баннер с возможностью отказаться от необязательных cookie, а не просто уведомление без выбора. Шестой - если на сайте публикуются отзывы, фото или истории клиентов с указанием имени, для этого должно быть отдельное согласие на распространение персональных данных, а не общее согласие на обработку.
Без инструментов это все проверяется визуально минут за двадцать: открыть сайт, найти все формы, проверить наличие политики и чекбоксов, посмотреть исходный код на предмет сторонних счетчиков. Если формы старые и правились разными людьми в разное время, частая находка - на одной странице чекбокс есть, а на другой его забыли добавить при обновлении дизайна.