Subjekt údajů, tj. žijící fyzická osoba, k níž se osobní údaje vztahují, se považuje za určený nebo určitelný, jestliže jej lze přímo či nepřímo identifikovat zejména na základě čísla, kódu nebo jednoho či více prvků, specifických pro jeho fyzickou, fyziologickou, psychickou, ekonomickou, kulturní nebo sociální identitu. V této souvislosti je vhodné  poukázat na stanovisko Úřadu pro ochranu osobních údajů k problémům z praxe  - č. 1/2001, dle něhož „jak určenost, tak určitelnost souvisejí s přiměřeností času, úsilí a materiálních prostředků, které je nutno vynaložit k identifikaci fyzické osoby. Jen pokud by čas, úsilí nebo materiální prostředky byly nepřiměřené a neadekvátní možnostem správce či zpracovatele, je možno hovořit o údajích, které nemají povahu osobních údajů, a takové údaje nepožívají ochrany podle zákona.“

Osobním údajem je tedy taková informace, na základě níž samé či v kombinaci s jinými lze přímo či nepřímo identifikovat určitou fyzickou osobu.

Uzavřením pracovní smlouvy či dohody o pracích konaných mimo pracovní poměr (tj. dohody o provedení práce či o pracovní činnosti) dochází mezi zaměstnavatelem a  zaměstnancem ke vzniku pracovněprávního vztahu. V důsledku toho vzniká zaměstnavateli mimo jiné povinnost osobní údaje svých zaměstnanců zpracovávat. Tuto povinnost ukládá zaměstnavateli např. zákoník práce, zákon o mzdě, zákon o sociálním zabezpečení nebo zákon o důchodovém pojištění. Zpracováním osobních údajů se přitom rozumí např. jejich shromažďování, uchovávání, třídění, používání, šíření či zveřejňování.

Z uvedené plyne, že se zaměstnavatel pro účely zákona o ochraně osobních údajů považuje za správce osobních údajů svých zaměstnanců.

Zákon o ochraně osobních údajů ukládá v ustanovení § 16 každému, kdo hodlá jako správce zpracovávat osobní údaje, tuto skutečnost písemně oznámit Úřadu, a to před zpracováváním osobních údajů. Pokud však zaměstnavatel zpracovává osobní údaje svých zaměstnanců výlučně v rámci zpracování personální a mzdové agendy, tedy za účelem splnění povinností mu uložených zvláštními zákony, nemusí takové zpracovávání osobních údajů Úřadu pro ochranu osobních údajů dle § 16 zákona o ochraně osobních údajů oznamovat. Uvedený závěr plyne z ustanovení § 18 odst. 1 písm. b) zákona o ochraně osobních údajů. Dle tohoto ustanovení se oznamovací povinnost nevztahuje na zpracování osobních údajů, které správci ukládá zvláštní zákon nebo je takových osobních údajů třeba k uplatnění práv a povinností vyplývajících ze zvláštního zákona.

Výše uvedený závěr se ale neuplatní za podmínky, že zaměstnavatel hodlá osobní údaje svých zaměstnanců zpracovávat i k jiným účelům než jsou ty, které mu ukládá zvláštní zákon. V takovém případě je totiž zaměstnavatel povinen nejen řádně splnit oznamovací povinnost dle § 16 zákona o ochraně osobních údajů, ale zároveň je povinen si k takovému zpracování obstarat od svých zaměstnanců příslušný souhlas. Zaměstnanec musí být při udělení souhlasu zaměstnavatelem informován o tom, pro jaký účel zpracování a k jakým osobním údajům je souhlas dáván a na jaké období. Udělený souhlas se zpracováním osobních údajů musí být zaměstnavatel schopen prokázat po celou dobu zpracování.

Vždy ovšem platí, že při zpracovávání osobních údajů svých zaměstnanců je zaměstnavatel povinen počínat si natolik obezřetně, aby dbal jejich práva na ochranu soukromého a osobního života. V opačném případě riskuje zaměstnavatel odpovědnost za škodu, která tímto zaměstnanci vznikne.