Юридически обязанности привлекать юриста нет: 152-ФЗ не требует, чтобы политику составлял именно адвокат или практикующий специалист с лицензией. Можно написать документ самостоятельно, если вы понимаете, какие данные собирает сайт, зачем и куда они уходят дальше, и закрыли обязательный набор пунктов - цели обработки, состав данных, основания, сроки хранения, права пользователя, порядок отзыва согласия.
Проблема обычно не в законе, а в том, что владелец сайта не до конца видит собственные процессы: забывает про сервис рассылок, забывает, что аналитика передает данные за рубеж, или копирует политику с чужого сайта, где перечислены совсем другие данные. Такая политика формально есть, но не соответствует действительности, и это находят при проверке быстрее, чем отсутствие документа вообще.
Консультация специалиста оправдана в нетиповых случаях: если сайт собирает данные особой категории вроде сведений о здоровье, если данные уходят за границу, если бизнес работает с несовершеннолетними или биометрией. В простом интернет-магазине или блоге с формой обратной связи чаще достаточно грамотного шаблона, адаптированного под реальные процессы сайта, а не написанного юристом с нуля.
Если делать самому не хочется или нет уверенности в деталях, есть готовая услуга: аудит сайта и составление политики с согласиями под ключ, обычно 8500-14900 рублей и 2-3 рабочих дня.