152-ФЗ «О персональных данных» устанавливает правила сбора, хранения, использования и передачи данных о человеке: какие данные считаются персональными, на каких основаниях их можно обрабатывать, какие права есть у субъекта данных - например, право отозвать согласие или потребовать уничтожить данные - и какую ответственность несет оператор за нарушения.
Согласие субъекта - основное, но не единственное основание для обработки. Закон допускает обработку без согласия в ряде случаев: если это нужно для исполнения договора с самим субъектом, если обработку прямо требует другой закон, для защиты жизни и здоровья субъекта, когда он не может дать согласие сам, а также при статистической или иной обработке, после которой данные обезличены.
Для сайта-визитки с формой заявки это означает следующее: если человек сам оставляет заявку с телефоном, чтобы вы ему перезвонили, обработка нужна для исполнения его же просьбы, но формально согласие на обработку данных на сайте все равно нужно оформлять отдельным чекбоксом - это стандартная и самая безопасная практика, которая снимает большинство вопросов при проверке.
Закон также обязывает уведомить Роскомнадзор о начале обработки данных, определить меры защиты и, если работаете с сотрудниками, оформить внутренние документы вроде положения об обработке персональных данных. Форма на сайте - только часть требований, а не все, что предусматривает закон.