К персональным данным сотрудника относится любая информация, которая прямо или косвенно позволяет его идентифицировать: ФИО, дата и место рождения, паспортные данные, адрес регистрации и фактического проживания, ИНН, СНИЛС, семейное положение, сведения об образовании, стаже и предыдущих местах работы, размер заработной платы и банковские реквизиты для ее перечисления.
Отдельно закон выделяет специальные категории данных, для которых действуют более строгие правила: сведения о состоянии здоровья (больничные листы, справки об инвалидности), о судимости для должностей, где это имеет значение, и биометрические данные - например, фотография на пропуск или отпечаток пальца на системе доступа в офис.
Часть данных работодатель вправе обрабатывать без отдельного согласия сотрудника, если это прямо нужно для заключения и исполнения трудового договора, ведения кадрового учета и начисления зарплаты - такую обработку разрешает трудовое законодательство напрямую. А вот для данных, которые выходят за рамки трудовых отношений - например, фото для корпоративного сайта или передача данных внешнему подрядчику для рассылки поздравлений - нужно отдельное письменное согласие. В любом случае доступ к личным делам должен быть ограничен узким кругом сотрудников, а хранить данные дольше, чем это требуется для целей обработки, не стоит.