Соглашение, или обязательство, о неразглашении персональных данных - это документ, который сотрудник подписывает при получении доступа к чужим данным: в нем он подтверждает, что ознакомлен с требованиями 152-ФЗ, обязуется не разглашать и не использовать данные в личных целях, и понимает, что несет ответственность за нарушение.
В документ включают: ФИО и должность сотрудника, перечень данных или категорий, к которым он получает доступ, конкретные обязательства - не передавать третьим лицам, не копировать за пределы рабочих систем, использовать данные только в рамках должностных обязанностей. Срок действия обязательства обычно указывают бессрочным, включая период после увольнения сотрудника, - обязанность не разглашать чужие данные не заканчивается вместе с трудовым договором.
Полезно прямо в тексте сослаться на ответственность за нарушение: дисциплинарную по внутренним правилам компании, административную по статье 13.11 КоАП РФ, а в отдельных случаях - и уголовную по статье 272.1 УК РФ за незаконный оборот персональных данных. Это не формальность ради формальности, а понятное сотруднику предупреждение о цене ошибки.
На практике соглашение подписывают при приеме на работу или в момент, когда сотрудник получает доступ к новой системе с персональными данными, и хранят в личном деле. Дополнительно стоит вести отдельный список сотрудников с доступом к базе клиентов, чтобы при проверке было понятно, кто и когда был допущен к данным, а не восстанавливать это по памяти.