Соглашение о неразглашении персональных данных можно оформить и отдельным документом, и пунктом трудового договора или должностной инструкции - закон не требует конкретной формы, важно письменное обязательство сотрудника и его подпись до того, как он получит доступ к данным. На практике проще сделать отдельный бланк: его легче обновлять и подписывать при найме новых людей, не трогая каждый раз основной договор.
В документ стоит включить: перечень данных, к которым сотрудник получает доступ по своей должности, обязанность не передавать их третьим лицам и не использовать в личных целях, срок действия обязательства - обычно оно продолжает действовать и после увольнения, а не только на время работы, и ответственность за нарушение - как минимум дисциплинарную, а в отдельных случаях материальную или связанную с разглашением коммерческой тайны.
Само по себе соглашение с сотрудником не заменяет остальные документы компании как оператора персональных данных. Параллельно нужен приказ о допуске - список должностей и людей, кому разрешен доступ к каким данным, и локальный акт - положение об обработке персональных данных, с которым сотрудника знакомят под подпись при приеме на работу. Соглашение о неразглашении логично подписывать в тот же день, что и это положение, одним пакетом кадровых документов.