Si ricorda che il medico competente istituisce, aggiorna e custodisce, sotto la propria responsabilità, una cartella sanitaria e di rischio per ogni lavoratore sottoposto a sorveglianza sanitaria; tale cartella è conservata con salvaguardia del segreto professionale e, salvo il tempo strettamente necessario per l'esecuzione della sorveglianza sanitaria e la trascrizione dei relativi risultati, presso il luogo di custodia concordato al momento della nomina del medico competente.
I dati personali che il medico competente è tenuto a trasmettere al datore di lavoro e al lavoratore in forma scritta sono rappresentati dal giudizio di idoneità secondo il modello previsto dalla legge, in cui compaiono le generalità del lavoratore, i fattori di rischio lavoratori a cui è esposto, evinti dal documento di valutazione dei rischi e l'idoneità con eventuali prescrizioni o limitazioni dei compiti lavorativi.
Il Datore di Lavoro e comunque nessuna persona se non il Medico Competente e il Medico della Polizia Giudiziaria in accordo con il Medico Competente (quindi neppure direzione del personale, RSPP) può accedere alle cartelle sanitarie dei dipendenti sottoposti ad accertamenti dal medico del lavoro. Nel caso di denuncia di infortuni o malattie professionali dell'Inail, il datore di lavoro deve limitarsi a comunicare solo le informazioni connesse alla patologia denunciata. E' del tutto vietata la diffusione di "dati idonei a rivelare lo sato di salute" del lavoratore.