Si ricorda che il medico competente istituisce, aggiorna e custodisce, sotto la propria responsabilità, una cartella sanitaria e di rischio per ogni lavoratore sottoposto a sorveglianza sanitaria; tale cartella è conservata con salvaguardia del segreto professionale e, salvo il tempo strettamente necessario per l’esecuzione della sorveglianza sanitaria e la trascrizione dei relativi risultati, presso il luogo di custodia concordato al momento della nomina del medico competente.

I dati personali che il medico competente è tenuto a trasmettere al datore di lavoro e al lavoratore in forma scritta sono rappresentati dal giudizio di idoneità secondo il modello previsto dalla legge, in cui compaiono le generalità del lavoratore, i fattori di rischio lavorativi a cui è esposto, evinti dal documento di valutazione dei rischi e l’idoneità con eventuali prescrizioni o limitazioni dei compiti lavorativi

Il datore di lavoro e comunque nessuna persona se non il Medico Competente e il Medico della Polizia Giudiziaria in accordo con il Medico Competente (quindi neppure direzione del personale, RSPP ecc)  può accedere alle cartelle sanitarie dei dipendenti sottoposti ad accertamenti dal medico del lavoro. Nel caso di denuncia di infortuni o malattie professionali all’Inail, il datore di lavoro deve limitarsi a comunicare solo le informazioni connesse alla patologia denunciata. E’ del tutto vietata la diffusione di "dati idonei a rivelare lo stato di salute" del lavoratore.