Согласие на обработку ПД это не часть оферты какой-то, а отдельный документ. Где всё чётко и по пунктам. Не прокатит вывалить +100500 страниц текста, а потом кивать, мол там среди всего было и согласие.
Хранить в базе не только true, а факт отправки смс (номер транзакции или что там есть у вас от оператора, время отправки и номер как минимум).
Если можно просто вписать номер от балды и поставить галочку, то это ваш попадос, потому что задача идентификации участника соглашения - ваша обязанность.
Так же будет минусом отсутствие отображения данного согласия в личном кабинете.