W obecnym stanie prawnym kwestie te reguluje art. 221 § 1 Kodeksu pracy, zgodnie z którym pracodawca ma prawo żądać od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących:

1) imię (imiona) i nazwisko,

2) imiona rodziców,

3) datę urodzenia,

4) miejsce zamieszkania (adres do korespondencji),

5) wykształcenie,

6) przebieg dotychczasowego zatrudnienia.

Z kolei zakres danych osobowych żądanych od pracownika został poszerzony o żądanie podania:

1) innych danych osobowych pracownika, a także imion i nazwisk oraz dat urodzenia dzieci pracownika, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy,

2) numeru PESEL pracownika nadanego przez Rządowe Centrum Informatyczne Powszechnego Elektronicznego Systemu Ewidencji Ludności (RCI PESEL).

Żądanie innych niż wymienione powyżej danych osobowych może nastąpić w dwóch przypadkach, gdy:

1) obowiązek podania takich informacji wynika z przepisów innych ustaw oraz

2) uprawniony wyrazi na to zgodę w trybie art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych.

Taki stan prawny rodzi poważne zastrzeżenia. W praktyce z jednej strony wielu pracodawców uważa, że zakres danych osobowych wskazanych w Kodeksie pracy jest zbyt wąski w stosunku do potrzeb związanych z administrowaniem stosunkiem pracy. Z drugiej strony odpowiedzią na takie postrzeganie problemu jest wymuszanie na pracownikach zgody na zbieranie danych osobowych, które są nieadekwatne do celu żądania, w konsekwencji zdecydowanie wykraczających poza potrzeby związane z zatrudnieniem pracowników.

Przykładem takiej sytuacji jest chociażby ostatnio głośno dyskutowany problem dopuszczalności gromadzenia danych biometrycznych pracowników przez pracodawców stosujących rejestratory czasu pracy oparte na czytnikach linii papilarnych. Sprawa ta niedawno zakończyła się wyrokiem Naczelnego Sądu Administracyjnego. W wyroku z dnia 1 grudnia 2009 r. Naczelny Sąd Administracyjny (sygn. akt I OSK 249/09), orzekł że „(…) brak równowagi w relacji pracodawca pracownik stawia pod znakiem zapytania dobrowolność wyrażenia zgody na pobieranie i przetworzenie danych osobowych (biometrycznych). Z tego względu ustawodawca ograniczył przepisem art. 221 Kodeksu Pracy katalog danych, których pracodawca może żądać od pracownika. Uznanie faktu wyrażenia zgody na podstawie art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych, jako okoliczności legalizującej pobranie od pracownika innych danych niż wskazane w art. 221 Kodeksu pracy, stanowiłoby obejście tego przepisu”. Jak wskazał NSA w dalszej części wyroku „ryzyko naruszenia swobód i fundamentalnych praw obywatelskich musi być proporcjonalne do celu, któremu służy. Skoro zasada proporcjonalności wyrażona w art. 26 ust. 1 pkt 3 ustawy o ochronie danych osobowych, jest głównym kryterium przy podejmowaniu decyzji dotyczących przetwarzania danych biometrycznych, to stwierdzić należy, że wykorzystanie danych biometrycznych do kontroli czasu pracy pracowników jest nieproporcjonalne do zamierzonego celu ich przetwarzania.”

Zdaniem GIODO sytuacja może ulec uzdrowieniu poprzez wprowadzenie radykalnych zmian w Kodeksie pracy, które będą zmierzały do rozszerzenia katalogu danych osobowych, których pracodawca będzie mógł żądać od pracowników (jak i kandydatów na pracowników). Z drugiej strony wyłączona zostałaby wyraźnie możliwość gromadzenia przez pracodawców danych, które byłby nieadekwatne do potrzeb administrowania stosunkiem pracy konkretnego pracownika. Do nowych danych, których żądanie przez pracodawcę zostałoby wyraźnie dopuszczone należałyby takie sprawy jak: zaświadczenie o niekaralności, informacja o przynależności związkowej