Попыталась разобраться в сабже сама - не смогла продраться сквозь формулировки законов и постановлений. Единственное, что понятно: работодатель обязан обеспечить защиту данных о своих сотрудниках (как будто она кому-то сильно нужна, ага).
Как это может выглядеть на практике? Я работаю в 1С, плюс болтаются программки из ПФР и из налоговой (по ряду причин оказалось проще отчеты делать в них).
Ну и бумажные копии документов, а также кадровых приказов.
Что я должна сделать, чтобы нам не прилетело по кумполу?

Сходите на тематический семинар, там все расскажут, за что и как. Ибо прилететь реально может больше по КоАПу, чем затратитесь на обучение.
(Семинар "Построение системы защиты персональных данных в компании" (в соответствии с 152-ФЗ) - цена 2400 руб.)

"как будто она кому-то сильно нужна, ага"

А разные ситуации бывают. И разные сотрудники. Данные о топ-менеджменте крупного холдинга, думаю, определенные структуры не отказались бы получить))

В холдинге-то, оно конечно, но я свою лавочку в виду имела. ))

Спасибо за подсказку.
А проводит "профильная" организация или просто коммерческая контора?

Не стала плодить топики. А вот о такой ситуации что гласит закон?