Zakres danych osobowych, które może pozyskać pracodawca od pracownika oraz osoby ubiegającej się o zatrudnienie, reguluje art. 221 kodeksu pracy. Na mocy tego przepisu pracodawca ma prawo żądać od osoby ubiegającej się o zatrudnienie podania danych osobowych, obejmujących: imię (imiona) i nazwisko, imiona rodziców, datę urodzenia, miejsce zamieszkania (adres do korespondencji), wykształcenie, przebieg dotychczasowego zatrudnienia.
Zakres danych osobowych, których pracodawca może żądać od zatrudnionego pracownika, jest nieco szerszy. Paragraf 2 powołanego przepisu upoważnia pracodawcę do żądania innych danych osobowych pracownika poza wymienionymi w § 1, a także imion i nazwisk oraz dat urodzenia dzieci, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy, jak również numeru PESEL pracownika, nadanego przez Rządowe Centrum Informatyczne Powszechnego Elektronicznego Systemu Ewidencji Ludności (RCI PESEL). Ponadto pracodawca jest uprawniony do uzyskania od pracownika innych danych osobowych niż wyżej określone, jeżeli obowiązek ich podania wynika z odrębnych przepisów.
Warto dodać, że po ustaniu zatrudnienia wygasa również cel w jakim dane dotyczące kandydatów do pracy zostały zebrane. W związku z tym CV kandydatów którzy nie zostali wybrani powinny zostać usunięte. Jeśli pracodawca chce dalje przetwarzać dane osobowe kandydatów do pracy - musi uzyskać stosowną zgodę
Ochrona danych osobowych wymaga poinformowania każdego pracownika oraz kandydata do pracy o fakcie przetwarzania danych osobowych przez pracodawcę w celu zatrudnienia na podstawie Kodeksu Pracy (art. 24 Ustawy o ochronie danych osobowych)
