Положение о защите персональных данных сотрудников - внутренний документ, который описывает, какие данные компания собирает о работниках, кто имеет к ним доступ, как они хранятся и защищаются и сколько времени хранятся после увольнения. Утверждается приказом руководителя, а каждый работник знакомится с ним под подпись при приеме на работу или сразу после утверждения, если сотрудники уже оформлены.
В положение стоит включить: цели обработки (заключение и исполнение трудового договора, кадровый учет, начисление зарплаты и налогов, ведение воинского учета при необходимости); перечень категорий данных именно по работникам - паспорт, СНИЛС, банковские реквизиты для зарплаты, а если есть медосмотры или должности с допуском - отдельно оговорите работу со спецкатегориями данных, для них нужна более подробная формулировка; список должностей с доступом и их обязанности по неразглашению; порядок передачи данных третьим лицам, если бухгалтерия на аутсорсе или зарплата идет через сторонний банк-партнер.
Сроки хранения кадровых документов после увольнения регулируются не только 152-ФЗ, но и правилами архивного дела - это отдельный вопрос, который стоит сверить с архивным законодательством, а не выводить произвольно. Готового шаблона на все компании нет: структура зависит от того, какие данные вы реально собираете, поэтому положение лучше писать под свои процессы, а не копировать чужой документ и менять в нем только название организации.