Každý zaměstnavatel musí o zaměstnancích vést mzdovou a personální agendu. Pro tyto druhy zpracování nepotřebuje od zaměstnanců souhlas. Zaměstnavatelé by tedy v žádném případě tento souhlas neměli získávat a už vůbec ne v pracovních smlouvách. Souhlas totiž musí být založen na svobodném rozhodnutí zaměstnance a to v případě mzdové a personální agendy nepřipadá v úvahu.

Pokud je mzdová nebo personální agenda zajišťována třetí osobou (např. externí účetní firma nebo OSVČ, centrum sdílených služeb v rámci skupiny společností), tato třetí osoba je v pozici tzv. zpracovatele a musí mít se zaměstnavatelem uzavřenou smlouvu o zpracování osobních údajů, jejíž podrobné náležitosti upravuje GDPR.

Osobní složky zaměstnanců jsou často vedeny i elektronicky a často se zapomíná na pravidla přístupu do osobních složek zaměstnanců, která stanoví zákoník práce. K elektronickým údajům mají totiž často přístup osoby, které standardně nemají přístup do papírových osobních složek (např. mateřská společnost zaměstnavatele), což je v rozporu s právními předpisy.

Většina zpracování osobních údajů zaměstnanců se obejde bez souhlasu zaměstnance (např. předávání pracovních kontaktů obchodním partnerům, předávání osobních údajů poskytovateli ubytovacích služeb při zajištění pracovní cesty).

Jen výjimečně potřebuje zaměstnavatel souhlas zaměstnance ke zpracování jeho údajů. V takovém případě musí jít opravdu o svobodný souhlas, který je zaměstnancem udělen zcela dobrovolně, anebo je bez jakýchkoli následků odepřen. Např. když zaměstnavatel hodlá shromažďovat fotografie zaměstnanců za účelem jejich zveřejnění na webových stránkách - pokud zaměstnanec odmítne udělit souhlas, tak jeho fotografie na webových stránkách nebude. Podle GDPR lze navíc udělený souhlas kdykoli odvolat a o tomto právu musí být zaměstnanec poučen.

Speciální úprava je v zákoníku práce věnována otázce monitoringu (sledování) zaměstnanců. Monitoring není vyloučen, naopak stává se stále častěji součástí zaměstnaneckého života (např. kamerové systémy, sledování pohybu zaměstnanců na internetu), ale musí splňovat stanovené podmínky, zejména musí na straně zaměstnavatele existovat závažný důvod, který převáží nad zájmem chránit soukromí zaměstnance i na pracovišti (např. ochrana majetku zaměstnavatele).