Положение об обработке персональных данных - это внутренний документ компании, который описывает, как именно вы работаете с данными сотрудников, клиентов и других субъектов: какие данные собираете, с какой целью, кто из сотрудников имеет к ним доступ, сколько данные хранятся и как уничтожаются по истечении срока. Обязателен он для любого оператора персональных данных независимо от размера бизнеса - раз у вас есть сотрудники и трудовые договоры, вы уже оператор.
В документе обычно фиксируют несколько блоков: общие принципы обработки, перечень категорий субъектов и данных, которые вы обрабатываете, порядок получения согласий, меры защиты данных, права субъектов на доступ и удаление своих данных, а также порядок действий при утечке или ином инциденте - кто и в какие сроки уведомляет Роскомнадзора.
Для небольшой компании с несколькими сотрудниками положение не обязано быть многостраничным юридическим трактатом - достаточно, чтобы оно реально описывало то, что происходит у вас в компании: где хранятся личные дела сотрудников, кто имеет доступ к бухгалтерии с зарплатными данными, куда уходят резюме кандидатов, которые вам не подошли.
Отдельно стоит утвердить положение приказом руководителя и ознакомить с ним сотрудников под подпись - без этого документ формально есть, но юридически не действует как локальный акт компании. Этот же документ инспектор Роскомнадзора запросит одним из первых при любой проверке.