Приказ по персональным данным работников - не единый документ по жестко заданной форме, а способ ввести в действие внутренние правила: обычно приказом утверждают положение об обработке персональных данных, перечень обрабатываемых категорий данных и форму согласия, а также назначают сотрудника, ответственного за организацию обработки, - такое назначение прямо требует закон, независимо от размера компании.
В самом приказе достаточно нескольких пунктов: ссылка на 152-ФЗ как основание, формулировка «утвердить» для каждого документа с указанием его названия и даты, назначение ответственного сотрудника с указанием его должности и ФИО, дата вступления в силу и подпись руководителя. Дальше все сотрудники, чьи данные обрабатываются, должны быть под подпись ознакомлены с положением - без этого приказ существует только на бумаге.
Для компании любого размера набор документов один и тот же: положение, перечень данных, форма согласия и приказ, который все это вводит в действие. Если делаете это впервые, проще сразу подготовить весь комплект документов согласованно, а не приказ отдельно от положения - иначе легко получить противоречия между ними, которые сразу видны при проверке.