Строго говоря, нужен не заявление, а письменное согласие на обработку персональных данных - это разные по смыслу документы, хотя на практике их часто путают. Согласие должно содержать ФИО и паспортные данные сотрудника, наименование и адрес работодателя как оператора, цель обработки, точный перечень персональных данных, на которые дается согласие, перечень действий с ними, срок действия согласия и порядок его отзыва, подпись и дату.
Подписывается согласие до начала обработки данных - то есть до того, как вы вносите сведения о сотруднике в кадровую систему или передаете их дальше, а не задним числом после оформления. Обычно это часть пакета документов при приеме на работу, вместе с трудовым договором, и хранится в личном деле сотрудника.
Отдельный момент: для передачи данных сотрудника в государственные органы - налоговую, пенсионный фонд, фонд соцстрахования - отдельное согласие не требуется, потому что это не согласие, а прямая обязанность работодателя по закону. А вот для передачи третьим лицам сверх обязательных случаев, например в банк для зарплатной карты по вашему выбору или в добровольную страховую программу, нужно отдельное согласие именно на такую передачу.