Единой «статьи о неразглашении» нет - обязанность не разглашать персональные данные регулируется комплексом норм: сам 152-ФЗ «О персональных данных» обязывает оператора и всех, кто имеет доступ к данным, соблюдать конфиденциальность, а ответственность за нарушение наступает отдельно: административная по статье 13.11 КоАП РФ и в тяжелых случаях уголовная по статье 272.1 УК РФ.
Для соглашения с сотрудниками отдела кадров практический путь такой: в трудовом договоре или отдельном соглашении о неразглашении прямо указывается обязанность работника не разглашать персональные данные, ставшие известными в силу должностных обязанностей, со ссылкой на 152-ФЗ как на закон, устанавливающий режим конфиденциальности этих сведений. При нарушении работодатель вправе уволить сотрудника за разглашение охраняемой законом тайны.
В самом соглашении стоит избегать общих фраз вроде «обязуюсь не разглашать данные» без конкретики - лучше прямо перечислить, какие сведения считаются персональными данными в рамках должности: личные дела, зарплатные ведомости, медицинские справки, и указать, что обязанность действует и после увольнения сотрудника.
Если утечка все же произошла, ответственность разделяется: работника накажут дисциплинарно, вплоть до увольнения, и в отдельных случаях уголовно, если он действовал из корыстных побуждений, а компанию как оператора - административно по КоАП, даже если формально виноват конкретный сотрудник, а не система защиты в целом.