Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych definiuje pojęcie danych osobowych, przez które należy rozumieć wszelkie informacje dotyczące zarówno zidentyfikowanej jak i możliwej do zidentyfikowania osoby fizycznej. Zidentyfikowanie osoby jest możliwe przez określenie tożsamości w sposób bezpośredni czy pośredni, poprzez wskazanie na numer identyfikacyjny bądź ten określony czynnik dotyczący cech fizjologicznych, fizycznych, umysłowych, kulturowych, ekonomicznych czy społecznych.
Danymi osobowymi nie będą informację, które pozwalają na określenie tożsamości osoby, ale wymagają nadmiernych kosztów, czasu czy też działań. Informacja, która umożliwia ustalenie tożsamości danej osoby bez nadzwyczajnych nakładów czy wysiłku jest rozumiana jako dane osobowe.
Danymi osobowym jest więc nie tylko imię, nazwisko czy adres zamieszkania, ale również też dane o cechach fizjologicznych, fizycznych, umysłowych, kulturowych, ekonomicznych czy społecznych. Do danych osobowych nie będzie się zaliczać pojedynczych informacji, które mają duży stopień ogólności np. dane dotyczące nazwy ulicy czy numeru domu, jeżeli pod danym adresem mieszka kilka rodzin.
Danymi osobowymi będzie numer PESEL, który jest stałym 11-cyfrowym symbolem numerycznym, identyfikującym osobę fizyczną w sposób jednoznaczny. Pierwszych sześć cyfr PESEL określa rok, miesiąc oraz dzień urodzenia, następne cztery cyfry to liczby porządkowej i określające płeć, ostatnia zaś jest cyfrą kontrolną na podstawie, której można komputerowo skontrolować poprawność nadania numeru PESEL.
Ustawodawca w ustawie o ochronie danych osobowych nie określić zamkniętego katalogu danych, które będą rozumiane jako dane osobowe. Dlatego, aby ocenić czy dana informacja jest danymi osobowymi konieczne jest dokonanie oceny pod kontem zapisów ustawy.