Ponieważ pracodawca ma dostęp do danych osobowych pracowników, jest zobowiązany je chronić. Musi przy tym pamiętać o ich właściwym pozyskiwaniu, tj. o zamkniętym katalogu informacji, jakich może domagać się od osoby ubiegającej się o zatrudnienie albo od pracownika, oraz o tym, jakich danych może zasięgnąć o pracowniku z innych źródeł.