Начать стоит с четырех вещей: определить, какие персональные данные вообще нужны отделу кадров (не собирать лишнее - паспортные данные соискателя до оффера обычно не нужны), назначить ответственного за организацию обработки, ограничить доступ к личным делам только тем, кому это нужно по работе, и завести местные документы - положение об обработке ПДн работников и формы согласий.
Для действующих сотрудников большая часть данных обрабатывается не по согласию, а в силу трудового договора и требований закона - согласие нужно только для того, что выходит за рамки обязательного: фото на сайте компании, включение в рассылку, передача данных партнерам для скидочных программ.
Для соискателей ситуация другая: пока человек не стал сотрудником, обработка его резюме и результатов собеседования обычно идет по его собственному согласию (он сам прислал резюме) или по преддоговорным отношениям. Данные не прошедших отбор кандидатов не нужно хранить бессрочно - разумный срок и дальнейшее уничтожение, либо явное согласие на хранение для будущих вакансий.
Обоим новым специалистам стоит подписать обязательство о неразглашении персональных данных, к которым они получат доступ - это отдельный документ, а не пункт в трудовом договоре, и его тоже проверяют при жалобах или проверках.