Три обязательные вещи на любой форме сбора данных: чекбокс согласия на обработку персональных данных, который пользователь ставит сам (не должен быть отмечен заранее), ссылка на политику конфиденциальности рядом с формой и понятная формулировка цели сбора - для чего именно нужны эти данные. Если форма собирает данные еще и для рассылки или маркетинга, на это нужно отдельное согласие, а не одна общая галочка на все.
Дальше - минимизация: собирайте только те поля, которые реально нужны для обработки заявки. Если для консультации достаточно имени и телефона, лишнее поле «дата рождения» в форме создает риск без пользы. Форма должна отправляться по защищенному соединению (https), а данные - храниться там, где к ним нет случайного открытого доступа.
Отдельный момент, который часто упускают: если сайт раньше не собирал персональные данные, а теперь появилась форма, до начала ее работы стоит проверить, подано ли в Роскомнадзор уведомление об обработке персональных данных - с 2022 года исключений для сайтов почти не осталось. Мы в ФЗ152.ПРО как раз закрываем это пакетом: политика, форма согласия, cookie-баннер и подготовка уведомления под ключ за пару дней, если делать это самому пока не хочется.