ข้อมูลที่ผู้ประเมินบันทึกกลับมาเป็นข้อมูลเกี่ยวกับคนทำงานที่ระบุตัวได้ เพราะรายงานมักบอกสาขา วันเวลา และลักษณะของผู้ให้บริการ ซึ่งเพียงพอให้ผู้จัดการรู้ว่าหมายถึงใคร
แนวปฏิบัติว่าด้วยการเก็บข้อมูลปฐมภูมิของ ESOMAR และ GRBN ฉบับเดือนตุลาคม 2564 กำหนดเรื่องนี้ไว้สามข้อ ข้อแรก ผู้วิจัยต้องยืนยันก่อนเริ่มงานว่าผู้ว่าจ้างได้รับความยินยอมจากผู้ถูกประเมินไว้แล้ว ข้อสอง ข้อมูลที่เก็บมาต้องได้รับการคุ้มครองและเปิดเผยต่อผู้ว่าจ้างเท่าที่ความยินยอมครอบคลุม ข้อสาม ห้ามเก็บข้อมูลส่วนบุคคลของผู้ที่ไม่ได้ให้ความยินยอม ซึ่งรวมถึงลูกค้ารายอื่นที่อยู่ในร้านขณะนั้น
ฝั่งกฎหมายไทย พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มีสองมาตราที่เกี่ยวโดยตรง มาตรา 24 (5) เปิดทางให้เก็บข้อมูลโดยไม่ต้องขอความยินยอมเมื่อจำเป็นเพื่อประโยชน์โดยชอบด้วยกฎหมายของผู้ควบคุมข้อมูล เว้นแต่ประโยชน์นั้นสำคัญน้อยกว่าสิทธิขั้นพื้นฐานของเจ้าของข้อมูล การประเมินคุณภาพบริการมักอ้างฐานนี้ แต่ต้องชั่งน้ำหนักเป็นเรื่องไปและบันทึกเหตุผลไว้
มาตรา 25 ห้ามเก็บข้อมูลส่วนบุคคลจากแหล่งอื่นที่ไม่ใช่จากเจ้าของข้อมูลโดยตรง เว้นแต่จะแจ้งให้เจ้าของข้อมูลทราบโดยไม่ชักช้าและไม่เกินสามสิบวันนับแต่วันที่เก็บ หรือเข้าข้อยกเว้นตามมาตรา 24 งานลูกค้าปริศนาคือการเก็บข้อมูลเกี่ยวกับพนักงานผ่านบุคคลที่สาม กรอบเวลาและวิธีแจ้งจึงต้องเขียนไว้ในสัญญาก่อน
กติกาชุดเดียวกันกำหนดว่าการส่งผู้ประเมินไปดูร้านคู่แข่งทำได้แค่ไหน สิ่งที่เก็บได้คือข้อมูลของกิจการซึ่งเปิดเผยต่อสาธารณะอยู่แล้ว เช่น ราคาที่ติดไว้หรือขั้นตอนที่ลูกค้าทุกคนได้รับเหมือนกัน ส่วนที่ทำไม่ได้คือข้อมูลส่วนบุคคลของพนักงานร้านคู่แข่ง รวมถึงภาพถ่ายและการบันทึกเสียง เพราะคนกลุ่มนี้ไม่ได้ให้ความยินยอม
ต้องบอกพนักงานล่วงหน้าไหมว่าจะมีการตรวจ
ต้องบอกว่ามีนโยบายตรวจ แต่ไม่ต้องบอกวันเวลา แนวปฏิบัติของ ESOMAR ให้ผู้ว่าจ้างได้รับความยินยอมจากผู้ถูกประเมินก่อน ซึ่งทำได้โดยเขียนในข้อบังคับเกี่ยวกับการทำงานและแจ้งตอนรับเข้าทำงาน การแจ้งระดับนโยบายไม่ทำให้วิธีนี้ใช้ไม่ได้ เพราะสิ่งที่วัดคือขั้นตอนประจำวัน
