Яндекс Метрика собирает четыре типа данных: технические (IP-адрес, браузер, устройство, разрешение экрана), поведенческие (какие страницы смотрели, сколько времени провели, докуда долистали), источник перехода (поисковик, реклама, соцсеть, конкретная UTM-метка) и, если включён Вебвизор, запись движений курсора и скролла как видео. Имя, телефон или почту Метрика не видит, если человек не ввёл их в форму на самой странице.
IP-адрес и идентификаторы cookies закон о персональных данных (152-ФЗ) тоже считает персональными данными, потому что по ним при желании можно вычислить конкретного человека. Поэтому формально сайт с любым счётчиком аналитики обязан иметь баннер согласия на обработку cookies при первом визите и политику конфиденциальности со ссылкой в футере. У вас без баннера сайт год простоял с нарушением, но на практике штрафуют в основном по жалобам посетителей или по итогам проверки, а не автоматически.
Отдельный момент - Вебвизор: если он включён, записи сессий могут случайно захватить то, что человек вписал в поле формы, если поле не помечено как исключённое из записи. Проверьте в настройках Метрики список исключённых полей и добавьте туда телефон, email и другие персональные поля формы, если их там нет.
Закрыть вопрос можно за один вечер: добавить на сайт баннер cookie-согласия (готовые бесплатные скрипты есть, ставится одним блоком кода), написать короткую политику конфиденциальности с перечнем того, что собираете, и повесить ссылку на неё в футере и рядом с формой заявки. Это не разовая формальность, а рабочая часть сайта, которую разработчик обычно делает сразу при сдаче проекта.