Оформляется отзыв простым письменным заявлением сотрудника на имя работодателя, а дальше все зависит от того, на каком основании вы обрабатываете его данные. Если это данные, нужные для трудового договора, отчетности в налоговую и фонды, воинского учета - отозвать согласие нельзя, потому что обработка идет не по согласию, а по прямому требованию закона, и прекратить ее в этой части вы не вправе.
Другое дело - данные, которые обрабатываются добровольно: фото на сайте компании, участие в корпоративной рассылке, размещение резюме на внешних площадках. Здесь согласие можно отозвать в любой момент, и после этого работодатель обязан прекратить обработку и уничтожить данные в срок до 30 дней, если для них нет другого законного основания хранения.
Оформление простое: регистрируете заявление как входящий документ, фиксируете дату получения, кадровая служба или ответственный за обработку ПДн проверяет, по какому основанию хранятся данные из заявления, и составляет акт или служебную записку о прекращении обработки и уничтожении - какие именно данные, каким способом, кто исполнитель.
Если сотрудник настаивает на удалении данных, нужных для трудовых и налоговых обязательств, стоит письменно объяснить ему, почему это невозможно и на каком основании вы продолжаете обработку - так закрывается риск жалобы в Роскомнадзор.