Generalny inspektor ochrony danych osobowych uważa, iż pozyskiwanie przez agencje pracy referencji o kandydacie od jego byłych kolegów i przełożonych może naruszać kodeks pracy i ustawę o ochronie danych osobowych.
Na takie działanie, zdaniem GIODO, nie zezwala im art. 221 par. 1 kodeksu pracy. Zgodnie z nim pracodawca ma prawo żądać od osoby ubiegającej się o zatrudnienie podania takich danych, jak m.in. imię i nazwisko, data urodzenia, miejsce zamieszkania (adres do korespondencji), wykształcenie czy przebieg dotychczasowego zatrudnienia. Niezależnie od tych danych ma prawo również żądać podania imion i nazwisk oraz dat urodzenia dzieci pracownika, jeżeli jest to konieczne ze względu na korzystanie przez zatrudnionego ze szczególnych uprawnień przewidzianych w prawie pracy.
Przepis nie umożliwia natomiast pozyskiwania referencji.
Często zdarza się, jak twierdzi inspektor danych osobowych, że w procesie rekrutacji pozyskiwane jest więcej informacji o kandydacie do pracy niż te, na które zezwala kodeks pracy. Przy czym za podstawę legalizacji takich praktyk służy zgoda wynikająca z art. 23 ust. 1 pkt 1 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2002 r. nr 101, poz. 926 z późn. zm.). Zgodnie z tym przepisem przetwarzanie danych jest dopuszczalne tylko wtedy, gdy osoba, której dane dotyczą, wyrazi na to zgodę.
Wojciech Rafał Wiewiórowski, GIODO, wskazuje jednak, że aby zgoda osoby mogła być uznana za podstawę prawną, musi być wyrażona w sposób dobrowolny. Jednak w relacji zachodzącej między pracodawcą a pracownikiem trudno jest mówić o takiej dobrowolności, gdyż brak jest tu równowagi podmiotowej (stosunek nadrzędności i podrzędności podmiotów), co często może sprzyjać wymuszeniu zgody. A zatem żądanie przez pracodawcę podania innych danych osobowych kandydata do pracy, niż te wymienione w art. 221 par. 1 kodeksu pracy (np. przedstawienia referencji), może prowadzić do naruszenia prawa, w tym ustawy o ochronie danych osobowych.