Delodajalec lahko od kandidata za zaposlitev in delavca zahteva in pridobiva zgolj osebne podatke, ki so potrebni za uresničevanje pravic in obveznosti iz delovnega razmerja, pri čemer mora spoštovati zakonske omejitve.
Delodajalec je dolžan delavca na njegovo pisno zahtevo seznaniti s podatki, ki jih o njem zbira oziroma se nanj nanašajo, ter mu jih posredovati, najkasneje v roku 30 dni od prejete zahteve.
Delodajalec je dolžan zavarovanje osebnih podatkov, ki jih zbira in hrani v kadrovski in drugih evidencah ob upoštevanju zakonskih določil, urediti v splošnem aktu.