Hoe zit het ook alweer met de AVG?

Wat mag wel en wat mag niet volgens de privacyregels die zijn vastgesteld in de AVG, als het aankomt op persoonsgegevens in het personeelsdossier?