Письменное согласие в смысле статьи 9 152-ФЗ обязательно в нескольких случаях: обработка специальных категорий данных - о здоровье, судимости и подобного, обработка биометрических данных, передача данных за границу в страну без адекватного уровня защиты и еще несколько прямо перечисленных в законе ситуаций. В остальных случаях согласие можно получать в любой форме, которая позволяет подтвердить сам факт его получения, в том числе как отдельный подписанный лист.
Трудовой договор сам по себе не заменяет согласие на обработку - это два документа с разными задачами: договор регулирует трудовые отношения, а согласие касается конкретно того, что происходит с личными данными сотрудника. На практике при приеме на работу человек подписывает отдельный бланк согласия, где перечислено, какие данные обрабатываются - ФИО, паспортные данные, ИНН, СНИЛС и подобное - и для каких целей: кадровый учет, начисление зарплаты, отчетность в фонды.
В бланке обязательно должны быть реквизиты оператора, перечень данных и действий с ними, срок действия согласия и порядок его отзыва, подпись сотрудника с датой. Подписанные оригиналы хранят в личном деле весь срок, пока актуальны кадровые документы.
Это не формальность для отчетности, а базовый шаг, который спрашивают при любой проверке трудовой инспекции или Роскомнадзора, даже если в компании работает пара человек.