Организация обработки персональных данных в компании начинается с назначения ответственного лица приказом руководителя - это прямое требование 152-ФЗ, и без него формально не с чего начинать остальные шаги. Дальше нужно определить, какие данные вы обрабатываете и с какой целью, составить перечень информационных систем, где эти данные хранятся, и оформить базовые документы: политику обработки персональных данных, формы согласий, приказ о назначении ответственного и список сотрудников с доступом к базе.
Если компания собирает данные через сайт - формы заявок, рассылку, личный кабинет - почти наверняка нужно подать уведомление в Роскомнадзор до начала такой обработки, а на сайте разместить политику конфиденциальности и получать согласие на обработку и на использование куки от сторонних сервисов вроде счетчиков аналитики.
Разбираться во всем самостоятельно не обязательно: можно нанять юриста или специалиста по 152-ФЗ разово - для аудита сайта и процессов и сборки пакета документов под вашу ситуацию, а дальше вести обработку своими силами, обращаясь за консультацией только при существенных изменениях. У нас такой аудит с пакетом документов занимает 2-3 рабочих дня, и его достаточно, чтобы закрыть основные риски небольшого интернет-магазина.