Сканы паспортов клиентов лежат в общей папке файлового сервера, ночная копия 1С уезжает за рубеж, учетка уволившегося менеджера активна месяцами. Персональные данные сотрудников открыты всем, операции с персданными фиксируют логи.
Привести офис к требованиям реально за две недели: инвентаризировать хранилища персданных, разграничить доступы, локализовать базы данных на серверах России. Дальше - где живут персональные данные офиса, сколько стоит ошибка, что закрыть до визита проверяющих.