Приказ о доступе к персональным данным работников - это отдельный организационно-распорядительный документ, которым руководитель поименно назначает сотрудников, допущенных к работе с личными данными коллег, и закрепляет за каждым конкретный объем доступа. В приказе указывают ФИО и должность допущенного сотрудника, перечень данных или систем, к которым открывается доступ - личные дела, 1С:Зарплата, CRM - и основание, обычно это должностные обязанности.
Структура простая: преамбула со ссылкой на 152-ФЗ и на положение о персональных данных, если оно уже есть в компании; список допущенных сотрудников с перечнем систем и папок напротив каждого имени; пункт об обязанности подписать обязательство о неразглашении; срок действия, чаще всего бессрочно, до увольнения или смены должности; фамилия ответственного за контроль исполнения. Подписывает приказ руководитель, а каждый из трех перечисленных сотрудников знакомится с документом под подпись.
Если положения о персональных данных в компании еще нет, лучше оформить его одновременно с приказом или сразу после - приказ о доступе без базового документа выглядит куском без остального: он называет, кто допущен, но не объясняет, зачем компания вообще собирает эти данные и как их защищает. При проверке Роскомнадзора спрашивают оба документа вместе, а не один из них.