Dane osobowe to - stosownie do treści art. 6 ustawy o ochronie danych osobowych - wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Jest to więc imię i nazwisko, adres zamieszkania, PESEL, NIP, wykształcenie, wiek, płeć, numer rachunku bankowego itp. Dane te są prawnie chronione, głównie przed ich ujawnieniem osobom nieupoważnionym.

Szczególnej ochronie podlegają dane określone w art. 27 ust. 1 ustawy o ochronie danych osobowych. Należą do nich m.in. informacje o stanie zdrowia, pochodzeniu rasowym lub etnicznym, poglądach politycznych, przekonaniach religijnych lub filozoficznych, przynależności wyznaniowej, partyjnej lub związkowej, kodzie genetycznym, nałogach, życiu seksualnym oraz dane dotyczące skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym. Nieuprawnione ujawnienie tego rodzaju informacji byłoby naruszeniem prywatności osoby. Nawet dane osobowe, które są zbędne dla firmy, np. ze względu na upływ czasu lub jej likwidację, podlegają ochronie. Muszą bowiem być tak długo chronione, jak długo żyje osoba, której dotyczą. Pracownicy powinni niszczyć, np. przy użyciu niszczarki, zbędne wydruki lub dokumenty pochodzące ze zbiorów danych osobowych, których okres przechowywania upłynął. Ponadto zgodnie z przepisami powinni usuwać takie dane z urządzeń, dysków lub innych elektronicznych nośników, zanim przekażą sprzęt do likwidacji, naprawy lub wykorzystania przez inny podmiot. Do trwałego usuwania danych służą specjalistyczne programy komputerowe. Jeśli ktoś zarządzający firmą choćby nieumyślnie umożliwi ludziom nieupoważnionym dostęp do danych osobowych, zgodnie z artykułem 51 ustawy popełni przestępstwo zagrożone karą grzywny albo ograniczeniem lub pozbawieniem wolności do lat dwóch.

Przestępstwo takie może popełnić również pracownik zobowiązany do ochrony danych, który wyrzucił te dane do śmieci, zamiast zgodnie z firmowymi procedurami usunąć je z nośników lub zniszczyć. Za odpowiednie zabezpieczenie danych odpowiada także firma, której zlecono zniszczenie dokumentów lub nośników (postanowienie Sądu Najwyższego z 11 grudnia 2000 roku). Oprócz poufnych danych osobowych są też takie, które dotyczą naszej aktywności zawodowej, np. numer telefonu służbowego, pełniona funkcja itp. Tego rodzaju dane w pewnym zakresie muszą pozostawać jawne, bo umożliwiają kontakt z nami. Według ustawy ochronie nie podlegają te dane, które nie były lub nie miały być wprowadzone do zbioru danych osobowych lub nie były przetwarzane w systemie informatycznym. Na przykład zgodnie z ustawą pracownik może wyrzucić do kosza zaadresowaną kopertę, ponieważ nie podlega ona ochronie, o ile zapisane na niej informacje nie pochodziły ze zbioru danych osobowych lub systemu informatycznego. Inna rzecz, wyrzucenie do kosza zaadresowanej koperty może sygnalizować niedbalstwo firmy i niestosowanie przez nią dobrych praktyk w zakresie ochrony informacji.