Положение об обработке персональных данных работников - это внутренний локальный акт, где работодатель прописывает, какие данные сотрудников собирает, зачем, кто имеет к ним доступ, как они хранятся и уничтожаются. Обязательные разделы: цели и правовые основания обработки, перечень обрабатываемых данных, порядок сбора и хранения, права работников как субъектов ПДн, порядок передачи данных третьим лицам и ответственность за нарушение режима.
Готовый шаблон из интернета брать не стоит именно по той причине, которую вы назвали: в нем обычно нет привязки к вашей реальной системе обработки - каким программам вы доверяете кадровый учет, кто физически имеет доступ к личным делам, передаете ли данные в бухгалтерию на аутсорсе. Проверяющий на выездной проверке сверяет положение с практикой, и расхождение между документом и реальностью - частая находка.
Порядок оформления простой: положение утверждается приказом руководителя, каждый сотрудник знакомится с ним под подпись при приеме на работу или сразу после утверждения документа для уже работающих. Отдельно от положения оформляется письменное согласие на обработку персональных данных - это разные документы, положение регулирует процесс внутри компании, согласие фиксирует волю конкретного работника.
Из практики: для компании с 40 сотрудниками и стандартным набором данных (паспорт, ИНН, СНИЛС, банковские реквизиты для зарплаты) положение обычно укладывается в 3-4 страницы. Перегружать его юридическими формулировками не нужно - документ должен быть понятен и кадровику, и рядовому сотруднику, который захочет прочитать, что происходит с его данными.