Персональными считаются любые данные, по которым можно установить конкретного человека: имя, телефон, email, адрес, дата рождения, а также менее очевидные вещи - IP-адрес, идентификаторы cookie, геолокация, фотография. Для обычной формы обратной связи чаще всего это имя, телефон и email - именно их и указывают в согласии как перечень собираемых данных.
Отдельно закон выделяет специальные категории - о здоровье, религии, судимостях, национальности, а также биометрические данные. Если ваша форма не связана с медициной или подбором персонала, скорее всего вы их не собираете, но стоит перепроверить: например, поле «расскажите о своей проблеме» в форме заявки на юридические услуги иногда невольно затрагивает такие сведения, и это тоже нужно учитывать в документах сайта.
Хороший принцип - собирать не больше данных, чем реально нужно для обработки заявки. Если для звонка достаточно имени и телефона, не стоит добавлять в форму поля «паспортные данные» или «дата рождения» просто про запас: чем шире список, тем больше требований к его защите и тем очевиднее вопросы при проверке, зачем эти данные вообще нужны.
Отдельная история - счетчики аналитики и рекламные пиксели на сайте: они тоже собирают персональные данные (IP-адрес, поведение на странице), даже если в форме их нет. Это значит, что перечень в политике конфиденциальности должен описывать не только форму, но и все, что фактически работает на сайте.