Согласие субъекта - это только одно из нескольких оснований для обработки персональных данных, а не единственное. Помимо него закон допускает обработку, если она нужна для исполнения договора с самим человеком, прямо предусмотрена другим законом, необходима для защиты жизни и здоровья человека, или когда данные уже сделаны общедоступными самим субъектом.
Именно поэтому магазин может обрабатывать имя, телефон и адрес покупателя для доставки заказа без отдельной подписи под согласием - это прямое следствие договора купли-продажи, и обработка ограничена тем, что нужно для его исполнения. А вот использовать те же контакты для рекламной рассылки - это уже другая цель, и для нее как раз требуется отдельное согласие, потому что рассылка не вытекает из самого факта покупки.
Клиника работает похожим образом: обработка данных пациента для оказания медицинской помощи опирается на закон об охране здоровья и на сам факт заключения договора на услуги, а не только на бланк согласия. При этом для специальных категорий данных, к которым относятся сведения о здоровье, требования строже: письменное согласие нужно почти всегда, кроме прямо перечисленных в законе исключений вроде экстренной медицинской помощи.
Практический вывод для бизнеса: прежде чем вешать на форму сайта чекбокс согласия, стоит понять, какое основание вы фактически используете. Если это исполнение договора, формулировка согласия и его отсутствие в отдельных случаях - не ошибка, а нормальная практика, но это стоит явно прописать в политике обработки данных.