
1) Необходимо составить локальный нормативный акт - политика в отношении обработки персональных данных. В этом вам помогут рекомендации Роскомнадзора по его составлению.
Если у вас есть интернет-сайт, через который вы получаете персональные данные, разместите на нем политику в отношении обработки персональных данных (или иной аналогичный акт) так, чтобы посетители сайта имели доступ к ней.
2)Подписать приказ о назначении лица, ответственного за организацию обработки персональных данных физлиц. Таким лицом может стать любой ваш работник.
3) Подписать приказ об утверждении перечня работников, имеющих доступ к персональным данным физлиц. Такой приказ может служить доказательством того, что конкретное лицо имело доступ к персональным данным. Это важно, в случае если произошло разглашение данных и нужно установить виновных;
4) Подписать соглашение о конфиденциальности с работниками, имеющими доступ к персональным данным. В этом соглашении работники, которые сталкиваются с персональными данными ваших клиентов или партнеров, обязуются не разглашать их.