Raccogliere dati e immagini sul campo significa spesso trattare informazioni riferibili a persone. Il Regolamento UE 2016/679 si applica anche al servizio di prevenzione: le finalità del trattamento devono essere chiare, i dati devono essere pertinenti e limitati a quanto necessario, l'accesso deve essere riservato a chi ne ha bisogno. Il registro dei rilievi descrive situazioni, non persone: scrivere che sulla linea due un operatore lavorava senza occhiali è sufficiente, mentre il nome non aggiunge nulla alla misura e crea un problema.
Una cautela particolare riguarda l'art. 4 dello Statuto dei Lavoratori, Legge 300 del 1970, che disciplina gli strumenti dai quali può derivare anche la possibilità di controllo a distanza dell'attività dei lavoratori. Foto, video e sistemi digitali di rilevazione usati per la sicurezza non devono trasformarsi in uno strumento di controllo della prestazione o di contestazione disciplinare non previsto dagli accordi o dalle procedure aziendali. È opportuno che le regole d'uso siano definite con la direzione e, dove previsto, condivise con le rappresentanze.
I dati sanitari individuali appartengono al medico competente e non entrano negli archivi del servizio di prevenzione. Infine c'è il vincolo dell'art. 33, comma 2: processi produttivi, layout di impianti e prodotti in sviluppo sono informazioni riservate. Le foto e i report non si condividono su chat personali, social network o servizi esterni non autorizzati dall'azienda, anche quando sembrerebbe il modo più rapido per avvisare un collega.