В конторе существует приказ о защите персональных данных (издан сразу после принятия закона), но он описывает защиту только кадровой и бухгалтерской информации.
Что нарушается ГОСТ 17799-2005, и так ясно

неправдадаже если подписывали, всё равно считается
В целях информационного обеспечения могут создаваться общедоступные источники персональных данных (в том числе справочники, адресные книги). В общедоступные источники персональных данных с письменного согласия субъекта персональных данных могут включаться его фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и иные персональные данные, предоставленные субъектом персональных данных.
Ну всем же известно, что в России "закон, что дышло, как повернул, так и вышло"а что мешает тогда любую систему считать "справочником" или "адресной книгой"?