Что такое доступ к персональным данным?

Доступ к персональным данным - это по статье 3 закона 152-ФЗ одна из операций обработки: возможность ознакомиться с данными или получить их. Закон не устанавливает конкретное число сотрудников, которым можно давать доступ, но требует статьёй 19 разграничивать права так, чтобы у каждого был доступ только к тем данным, которые нужны ему для выполнения именно его обязанностей - это называется принципом минимально необходимого доступа.

В вашем случае три человека с разными ролями - это нормально, если доступ у каждого обоснован задачей: менеджеру нужны контакты клиента для обработки заказа, бухгалтеру - данные для документов и отчётности, разработчику - технический доступ к базе для поддержки сайта. Проблема возникает, если, скажем, у разработчика остаётся доступ ко всей базе без ограничения по времени уже после завершения проекта - тогда это избыточный доступ, который стоит закрыть.

Дополнительно закон требует, чтобы каждый сотрудник с доступом к персональным данным был письменно ознакомлен с политикой обработки и обязательствами о неразглашении - обычно это фиксируется отдельным соглашением о конфиденциальности при приёме на работу. Имеет смысл завести список сотрудников с доступом и раз в полгода его пересматривать: увольнение разработчика или смена подрядчика - типичный момент, когда доступ забывают закрыть вовремя.