La cartella sanitaria e di rischio è istituita, aggiornata e custodita dal medico competente sotto la propria responsabilità per ogni lavoratore sottoposto a sorveglianza sanitaria, come prevede l'art. 25, comma 1, lettera c. I contenuti minimi sono indicati nell'allegato 3A: dati anagrafici, mansione, rischi a cui il lavoratore è esposto, anamnesi, esiti degli esami clinici e strumentali, giudizi di idoneità con le relative date. La cartella è conservata con salvaguardia del segreto professionale presso il luogo di custodia concordato al momento della nomina del medico.
Alla cessazione del rapporto di lavoro, il medico consegna al lavoratore copia della cartella e gli fornisce le informazioni sulla sua conservazione; l'originale è conservato dal datore di lavoro per almeno dieci anni, salvo termini diversi previsti dal decreto, come per gli esposti ad agenti cancerogeni, per i quali i tempi sono molto più lunghi. Alla cessazione dell'incarico, il medico consegna la documentazione sanitaria al datore di lavoro nel rispetto della normativa sulla protezione dei dati personali.
Il punto organizzativo critico è il luogo di custodia: armadi chiusi a chiave, accesso limitato, nessuna cartella archiviata nell'ufficio del personale insieme ai fascicoli amministrativi. Quando cambia il medico competente, il passaggio delle cartelle va verbalizzato. In fase di assunzione il medico, nei limiti in cui sia reperibile, valuta anche la cartella rilasciata dal precedente datore di lavoro, utile per conoscere esposizioni pregresse.