Для сайта с формой обратной связи действуют четыре базовых правила: перед отправкой формы посетитель должен дать согласие на обработку персональных данных, на сайте должна быть опубликована политика обработки персональных данных с описанием, какие данные собираются и зачем, посетителей нужно уведомлять о сборе технических данных вроде cookies, и оператор обязан подать уведомление в Роскомнадзор до начала обработки - с 1 сентября 2022 года исключений почти не осталось.
Согласие оформляется чек-боксом рядом с кнопкой отправки формы, без предзаполненной галочки - человек должен поставить ее сам. Политика конфиденциальности размещается отдельной страницей и должна соответствовать тому, что сайт реально делает с данными: если стоит форма заявки и Яндекс Метрика, в политике должны быть указаны именно эти два источника сбора данных, а не общий шаблон из интернета.
Отдельная тема - счетчики аналитики. Яндекс Метрика по умолчанию собирает IP-адрес и другие технические данные, которые тоже подпадают под закон, поэтому в настройках счетчика стоит включить анонимизацию IP и указать это в политике. То же касается любых сторонних виджетов на сайте вроде чатов или форм подписки - каждый источник сбора данных должен быть в перечне.
Уведомление в Роскомнадзор подается один раз при начале обработки и обновляется, если меняется состав данных или цели их использования. Штраф за отсутствие уведомления или согласия по статье 13.11 КоАП с 30 мая 2025 года заметно вырос, поэтому для действующего сайта с формой лучше закрыть эти четыре пункта, даже если сайт существует уже давно.