Да, согласие оформляется отдельным документом, трудовой договор его не заменяет: в согласии сотрудник подтверждает, что разрешает работодателю обрабатывать конкретный перечень своих персональных данных для конкретных целей. Берется оно при приеме на работу, до начала фактической обработки - то есть до того, как данные попадут в кадровую систему или бухгалтерию.
В документе указывают оператора (вашу компанию), перечень данных (ФИО, паспортные данные, ИНН, СНИЛС, адрес, контакты, сведения об образовании и семье, если они нужны для личного дела), цель обработки (заключение и исполнение трудового договора, кадровый учет, начисление зарплаты, передача в фонды и налоговую), срок действия и способ отзыва согласия.
Часть кадровой обработки в принципе не требует согласия - Трудовой кодекс сам обязывает работодателя вести кадровый учет, и на такую обработку опираются на закон, а не на добровольное согласие сотрудника. Но на практике проще оформить общее согласие сразу при приеме, чтобы не разбираться потом, какое основание применимо к какому документу в личном деле.
Отдельно нужно согласие, если данные сотрудника передаются за пределы кадрового учета - например, публикуются на сайте компании в разделе «команда» с фото. Это уже распространение, и обычного согласия на обработку для него недостаточно, нужно отдельное.