Для оформления и исполнения трудового договора отдельное согласие сотрудника не требуется: обработка идет на основании самого договора и главы 14 Трудового кодекса, которая прямо разрешает работодателю собирать данные, нужные для приема на работу и трудовых отношений. Отдельное письменное согласие нужно, только если вы собираете данные сверх этого минимума - например фото для сайта компании или данные родственников не для целей учета.
Дальше нужен пакет внутренних документов: положение об обработке персональных данных работников, приказ о назначении ответственного за обработку и уведомление в Роскомнадзор - без него формально работодатель не вправе обрабатывать данные сотрудников в кадровых программах и на серверах.
Доступ к личным делам стоит ограничить кругом лиц, которым это действительно нужно по работе, - обычно это кадровая служба и непосредственный руководитель, а не весь коллектив с доступом к общей папке на сервере. Сроки хранения кадровых документов определяются архивным законодательством, и после увольнения сотрудника данные нельзя держать бессрочно без отдельного основания.
Отдельно пропишите в положении, как данные передаются третьим лицам - бухгалтерии на аутсорсе, банку для зарплатного проекта, страховой компании по ДМС. Для таких передач нужно либо согласие сотрудника, либо прямое указание в законе, а не просто договор с подрядчиком.