Строго говоря, документ правильнее назвать не положением об использовании, а положением об обработке персональных данных: использование - лишь одно из действий, которые закон объединяет термином обработка, наравне со сбором, хранением, передачей и уничтожением. Документ, оформленный узко под использование, не покроет остальные операции с данными, которые компания реально совершает.
Обязательные разделы: цели обработки (кадровый учет, расчет зарплаты, охрана труда), перечень категорий данных сотрудников, которые обрабатываются, правовые основания - обычно это трудовой договор и Трудовой кодекс, для кадровых данных отдельное согласие не всегда нужно, состав лиц, имеющих доступ к базе, сроки хранения и порядок уничтожения при увольнении сотрудника.
Отдельным блоком - меры защиты: кто ответственный за обработку в компании, как ограничен доступ к личным делам и базе 1С или другой учетной системы, какие технические меры применяются. Для штата в 60 человек стоит отдельно прописать, кто из руководителей отделов имеет доступ к данным именно своих подчиненных, а не всей базы компании.
Положение утверждается приказом руководителя и хранится вместе с другими локальными нормативными актами. Сотрудников нужно ознакомить с ним под подпись при приеме на работу - без этого при проверке трудовой инспекции или Роскомнадзора документ формально есть, но факт информирования сотрудников доказать нечем.