Работник воспользовался корпоративными ресурсами (сканер, почта) для личных (семейных?) нужд.
Если в компании есть запрет на использование корпоративных ресурсов в личных целях, то работник должен понести ответственность. Если нет - есть повод задуматься о таком регламенте.
Действие ФЗ-152 не распространяется на отношения, возникающие при обработке персональных данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных.

В первую очередь нужно отталкиваться от ФЗ-152 "О персональных данных".
Если государственная информационная система - реализовать меры из Приказа ФСТЭК №17. Если негосударственная - из Приказ ФСТЭК № 21. Уровень защиты зависит от того, информацию о скольких субъектах будете обрабатывать и какие категории будете собирать (если только паспортные данные - то хорошо).
Помимо этого нужно изучить и реализовать все требования от ФСТЭК, ФСБ и Роскомнадзора, а потом отправить последнему уведомление об обработке ПДн.

Важно правильно обозначить, что Вам нужно - удаление информации или её уничтожение. Судя по вопросу, Вас интересует именно уничтожение информации - действия, в результате которых становится невозможно восстановить информацию.

Уничтожить информацию можно двумя способами: уничтожить саму информации с носителя, либо уничтожить сам носитель с информацией.

Уничтожение информации с машинного носителя при помощи специализированных программных средств осуществляется при помощи следующих методов:

• полная перезапись машинного носителя;
  
• частичная перезапись машинного носителя.
  

Уничтожение машинного носителя информации осуществляется при помощи следующих методов:

• механическое уничтожение;
  
• физическое;
  
• химическое.
  

Определить способ уничтожения можете только Вы, основываясь на степени ущерба от нарушения конфиденциальности информации и своем бюджете.

Можно почитать стандарты уничтожения данных:

• ГОСТ Р50739-95;
  
• DoD 5220.22-M;
  
• NAVSO P-5239-26 (RLL);
  
• NAVSO P-5239-26 (MFM);
  
• VSITR.