Обязательно ли согласие на обработку персональных данных?

Да, обязательно. Закон 152-ФЗ «О персональных данных» требует согласие субъекта на обработку любых данных, по которым его можно опознать, а имя и телефон в форме заявки под это подходят напрямую. Штраф по ст. 13.11 КоАП за обработку без согласия для юрлица начинается с 60-100 тысяч рублей за первый случай и доходит до 700 тысяч-миллиона при повторных нарушениях и утечках. ИП штрафуют меньше, но и там счёт на десятки тысяч.

Дело не только в штрафе. Без чекбокса и логирования у вас нет доказательства, что согласие вообще было получено, а при обращении субъекта или проверке Роскомнадзора это именно то, что спросят в первую очередь.

Требования к самому чекбоксу простые, но их часто нарушают: галочка не должна стоять по умолчанию (иначе действие не считается осознанным), рядом обязательна ссылка на политику конфиденциальности, а проверка наличия согласия должна стоять не только в браузере через required, но и на сервере в обработчике формы, потому что клиентскую проверку легко обойти.

Отдельный момент: согласие на обработку данных для ответа на заявку и согласие на рекламную рассылку — это разные вещи по разным законам, объединять их в один чекбокс нельзя. Если решите собирать оба, нужны две отдельные галочки.

Уведомление в Роскомнадзор об обработке персональных данных через pd.rkn.gov.ru тоже обязательно, даже для одной формы обратной связи на сайте, и подаётся бесплатно.