Рабочее соглашение о неразглашении персональных данных включает пять обязательных частей: обязательство сотрудника не разглашать и не использовать данные в личных целях, перечень данных, к которым у него есть доступ, порядок действий при инциденте, меру ответственности за нарушение и срок действия обязательства - он должен продолжать действовать и после увольнения сотрудника, а не только на время работы.
Само соглашение не заменяет остальные кадровые документы: отдельно нужен приказ о допуске сотрудника к работе с персональными данными и письменное согласие самого сотрудника на обработку его собственных данных при трудоустройстве - это разные документы про разные вещи, их часто путают.
Ответственность за разглашение может быть дисциплинарной (замечание, выговор, увольнение), административной по КоАП, а при умышленном сборе, распространении или продаже чужих персональных данных - уголовной по статье 272.1 УК РФ. Стоит явно прописать это в тексте соглашения и ознакомить сотрудника под подпись: тогда в случае нарушения проще доказать, что человек был предупрежден и осознавал последствия.