Единой обязательной формы у такого приказа нет, но по смыслу 152-ФЗ он должен решать одну задачу - назначить в компании ответственного за организацию обработки персональных данных и утвердить внутренние документы, которые дальше регулируют работу с этими данными. Обычно это приказ руководителя на одну-две страницы.
В приказе указывают основание - ссылку на 152-ФЗ, фамилию и должность назначаемого ответственного, перечень его обязанностей: организация обработки, прием обращений субъектов, взаимодействие с Роскомнадзором при проверках. Отдельным пунктом утверждают сопутствующие документы: политику обработки персональных данных, перечень информационных систем, где обрабатываются данные, и список сотрудников, допущенных к работе с ними.
После подписания директором всех сотрудников, которые работают с личными делами, зарплатой или базой клиентов, нужно ознакомить с приказом под роспись - это тоже часть требований закона и первое, что спрашивают при проверке. Сам приказ и лист ознакомления храните вместе с остальными кадровыми документами.
Если в компании уже есть положение об обработке персональных данных, новый приказ можно не изобретать заново, а просто назначить ответственного и сослаться на действующее положение - дублировать его текст не нужно.