Osobní údaje nejsou definovány tím, že k jejich zveřejnění není souhlas dotyčného subjektu a v případě, že ten svůj souhlas vydá, tak přestávají být osobním údajem. To je pomýlený pohled.
Zákon č. 101/2000 Sb., o ochraně osobních údajů vymezuje v §4, bodech a, a b, pro účely zákona "osobní údaje" a "citlivé údaje" takto:
a) osobním údajem jakákoliv informace týkající se určeného nebo určitelného subjektu údajů. Subjekt údajů se považuje za určený nebo určitelný, jestliže lze subjekt údajů přímo či nepřímo identifikovat zejména na základě čísla, kódu nebo jednoho či více prvků, specifických pro jeho fyzickou, fyziologickou, psychickou, ekonomickou, kulturní nebo sociální identitu,
b) citlivým údajem osobní údaj vypovídající o národnostním, rasovém nebo etnickém původu, politických postojích, členství v odborových organizacích, náboženství a filozofickém přesvědčení, odsouzení za trestný čin, zdravotním stavu a sexuálním životě subjektu údajů a genetický údaj subjektu údajů; citlivým údajem je také biometrický údaj, který umožňuje přímou identifikaci nebo autentizaci subjektu údajů,