Zakres danych, których może żądać pracodawca został uregulowany przede wszystkim w art. 221 Kodeksu pracy. Normy prawne zawarte w przywołanym przepisie mają zastosowanie zarówno do osób ubiegających się o zatrudnienie u pracodawcy, jak i jego pracowników. Przede wszystkim wskazać należy, że już na etapie rekrutacji pracodawca może zażądać od osoby ubiegającej się o zatrudnienie podania imienia (imion), nazwiska, imion rodziców, daty urodzenia, miejsca zamieszkania (adresu do korespondencji), wykształcenia oraz przebiegu dotychczasowego zatrudnienia (art. 221 §1 Kp). W przypadku nawiązania stosunku pracy, niezależnie od danych wymienionych w poprzedzającym akapicie, pracodawca może również zażądać innych danych osobowych pracownika (zgodnie z definicją zawartą w ustawie o ochronie danych osobowych danymi osobowymi są wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej), imion, nazwisk oraz dat urodzenia dzieci pracownika w celu stwierdzenia, czy pracownikowi przysługują uprawnienia rodzicielskie, a także numeru PESEL pracownika. Przekazanie danych osobowych przez pracownika następuje w formie oświadczenia osoby, której one dotyczą. Niemniej jednak pracodawca może zażądać ich udokumentowania. Dodatkowo, o ile prawo takie wynika z odrębnych aktów prawnych (np. pragmatyk służbowych), pracodawca może zażądać od osoby ubiegającej się o pracę lub pracownika także innych informacji. Tytułem przykładu można podać obowiązek złożenia oświadczenia lustracyjnego zgodnie z przepisami ustawy z dnia 18 października 2006 roku o ujawnianiu informacji o dokumentach organów bezpieczeństwa państwa z lat 1944-1990 oraz treści tych dokumentów (Dz. U. z 2006 r., Nr 218, poz. 1592 ze zm.). Wszystkie wymienione powyżej dane o pracowniku można zaliczyć do tzw. informacji zwykłych. Stosunkowo często zdarza się jednak, że podczas nawiązanego stosunku pracy pracodawca wchodzi w posiadanie tzw. danych sensytywnych (danych wrażliwych), których przetwarzanie, co do zasady, jest zabronione. Zaliczyć do nich można informacje dotyczące pochodzenia rasowego lub etnicznego, poglądów politycznych, przekonań religijnych lub filozoficznych, przynależności wyznaniowej, partyjnej lub związkowej, jak również danych o ostanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym. W przypadku informacji zawartych w Krajowym Rejestrze Karnym pracodawca może wymagać przedstawienia stosownego zaświadczenia jedynie w przypadku, gdy z przepisów ustawy wynika wymóg niekaralności, korzystania z pełni praw publicznych czy ustalenia prawa do wykonywania danego zawodu. Od powyższej reguły istnieją wyjątki. Pracodawcy będzie przysługiwało prawo przetwarzania tzw. danych wrażliwych, jeżeli pracownik wyrazi na piśmie zgodę na przetwarzanie takich danych lub ich przetwarzanie jest niezbędne do wykonania zadań administratora danych (pracodawcy) odnoszących się do zatrudnienia pracowników i innych osób, a zakres przetwarzanych danych jest określony w ustawie. Dotyczy to na przykład pewnych obowiązków pracodawcy uregulowanych w przepisach kodeksu pracy, np. obowiązek przechowywania orzeczeń lekarskich wydanych na podstawie badań lekarskich pracowników lub obowiązek prowadzenia rejestrów związanych zachorowaniami na choroby zawodowe lub podejrzeniami o takie choroby.