Nie ma jednoznacznej odpowiedzi na to pytanie, ponieważ ilość danych osobowych, które można przetwarzać w firmie, zależy od wielu czynników, takich jak cel czy podstawa prawna przetwarzania. Należy pamiętać by przestrzegać zasady minimalizacji danych, która oznacza, że można zbierać i przetwarzać tylko te dane osobowe, które są niezbędne do osiągnięcia konkretnych celów.
Ponadto należy pamiętać o obowiązku informacyjnym, który wymaga aby osoby, których dane dotyczą były poinformowane o celach i sposobach przetwarzania ich danych osobowych.
W niektórych przypadkach mogą też obowiązywać dodatkowe wyłączenia lub ograniczenia przetwarzania danych osobowych, np. w związku z działalnością prasową, artystyczną, akademicką lub służbami specjalnymi.