Политика обработки персональных данных - это документ верхнего уровня, который описывает, как компания в целом обращается с любыми персональными данными, включая данные сотрудников: какие категории субъектов и данных обрабатываются, с какой целью, на каком основании, какие меры защиты применяются и куда обращаться по вопросам обработки. Утверждается руководителем и должна быть доступна - как минимум сотрудникам для ознакомления, а если компания собирает данные и через сайт, то и там тоже.
От письменного согласия при приеме на работу политика отличается ролью: согласие - это разрешение конкретного человека на обработку именно его данных для конкретной цели, а политика - это правила компании в целом, которые действуют независимо от того, сколько согласий подписано. Для сотрудников обычно нужны оба документа: политика как общее описание процессов и отдельное положение о порядке обработки персональных данных работников с более подробным регламентом внутри кадровой службы.
Практический порядок: собрать перечень данных, которые компания реально обрабатывает по каждой категории субъектов (сотрудники, соискатели, клиенты, если данные пересекаются), описать это в политике по разделам, утвердить приказом руководителя, ознакомить весь действующий персонал под подпись, новых сотрудников знакомить при приеме.
Если помимо кадровой части у компании есть сайт с формами, политику стоит делать сразу с учетом обеих сторон - иначе через полгода придется переделывать документ под сайт отдельно, а несовпадение между кадровой и веб-версией политики как раз и ловят при проверках.