Приказ о персональных данных работников - это внутренний распорядительный документ, которым руководитель утверждает положение об обработке персональных данных в компании, назначает ответственного за эту обработку и вводит документ в действие с определенной даты. Унифицированной формы у него нет, но обязательные элементы такие: реквизиты организации, ссылка на 152-ФЗ, номер и дата приказа, формулировки «утвердить» и «назначить ответственным», подпись руководителя.
Сам приказ обычно короткий - на одну страницу, а основной объем требований уходит в приложения. Типовой комплект для компании такого размера: положение об обработке персональных данных (описывает, какие данные, для чего и как долго обрабатываются), форма письменного согласия работника на обработку его данных, обязательство о неразглашении для тех, кто имеет доступ к базе (кадровик, бухгалтер, руководитель), и, если данные обрабатываются в электронном виде за пределами базовых кадровых программ - уведомление о начале обработки в Роскомнадзор.
Для 12 человек это не займет много времени, но пропускать документ не стоит: при проверке Роскомнадзора или трудовой инспекции первое, что спрашивают - есть ли приказ, положение и подписанные согласия у каждого сотрудника. Их отсутствие само по себе основание для штрафа по статье 13.11 КоАП, даже если утечки данных не было и жалоб от сотрудников не поступало.