Положение - это внутренний локальный акт компании, его утверждает руководитель приказом, а работники знакомятся с ним под подпись при приеме на работу. В документе должны быть: перечень персональных данных, которые компания собирает о работниках, цели обработки, порядок получения, хранения, передачи и уничтожения данных, срок хранения, список должностей с доступом к личным делам и ответственность за нарушение порядка.
Дальше идут более практичные разделы: как оформляется доступ третьих лиц к данным работника (например, бухгалтерия передает данные в фонды и налоговую - это по закону, а не по согласию), что делать при увольнении сотрудника - как долго хранится личное дело после увольнения и когда его нужно уничтожить, и как быть с данными кандидатов, которые не прошли собеседование.
Отдельно пропишите ответственного за организацию обработки персональных данных в компании - эта роль назначается приказом, обычно им становится кадровик или юрист. Именно этот человек отвечает на запросы работников и проверяющих органов.
Готовый документ подписывает руководитель, дальше каждый действующий сотрудник знакомится с ним под подпись, а новых знакомят при трудоустройстве вместе с остальными кадровыми документами. Для 25 человек это не займет много времени, а при проверке или жалобе такое положение - первое, что спросят.