Osobní údaje uchazečů o zaměstnání, které zaměstnavatel získal v rámci konkrétního výběrového řízení, je možné zpracovávat bez souhlasu uchazečů, ale po skončení výběrového řízení by měly být vymazány nebo papírové životopisy vyskartovány. V případě, že zaměstnavatel má zájem si ponechat životopisy některých neúspěšných uchazečů, kteří by byli pro zaměstnavatele přijatelní v případě budoucích pracovních příležitostí, musí si od těchto osob získat jejich souhlas.

Osobní údaje může zaměstnavatel získávat nejen od samotných uchazečů, kteří se přihlásili do výběrového řízení u zaměstnavatele, ale také od jiných osob (např. reference od bývalých zaměstnavatelů) nebo z veřejných zdrojů, a to i bez souhlasu daného uchazeče.

Zaměstnavatel smí tedy získávat informace o uchazečích i prostřednictvím sociálních sítí, nicméně jen v určitém rozsahu, který je nezbytný pro stanovený účel, tj. uzavření pracovní smlouvy. Jedná se např. o informace o školách, které uchazeč vystudoval, společnostech, ve kterých pracoval, o odborných znalostech, komunikačních schopnostech a dalších indikátorech pracovního výkonu uchazeče. V praxi se však zaměstnavatelé často snaží získávat na sociálních sítích takové informace, na které by se při pohovoru nebo v písemném dotazníku nemohli uchazeče zeptat. Jedná se zejména o informace a fotografie ze soukromého života a komentáře a příspěvky na různých diskuzních fórech, na jejichž základě personalisté získají první dojem o uchazeči, který pak může rozhodnout o jeho nepřijetí. Takový postup je v rozporu s právními předpisy a může být i diskriminační (pokud je např. důvodem nepřijetí uchazeče jeho náboženské vyznání).

Zaměstnavatelé již v rámci výběrového řízení požadují po uchazečích informace, na které mají právo až po vzniku pracovního poměru (např. rodné číslo, počet dětí apod.). Také tento postup není správný a v této fázi se jedná o nadbytečné nebo případně i zakázané údaje.