Per valutare i rischi legati ai fattori soggettivi servono dati, ma molti di questi dati sono personali o sanitari. Il RSPP non ha titolo per conoscere diagnosi, terapie o stato di gravidanza non comunicato: le informazioni sanitarie restano nella cartella custodita dal medico competente, mentre al datore di lavoro arriva solo il giudizio di idoneità con eventuali prescrizioni o limitazioni. Il Regolamento UE 2016/679 classifica i dati relativi alla salute come categorie particolari, trattabili solo per finalità e con garanzie specifiche.
Il metodo corretto è lavorare per caratteristiche della mansione e per dati aggregati. Dall'ufficio del personale si ricavano età anagrafica, nazionalità, tipologia contrattuale, eventuale minore età, appartenenza alle categorie protette della L. 68/99; dal medico competente si ottengono le idoneità con limitazioni, in forma utilizzabile dall'organizzazione; dalla relazione sanitaria anonima prevista dall'art. 25 si leggono le tendenze collettive.
Un esempio pratico: in un'azienda di logistica con 180 addetti l'ASPP può costruire una tabella che incrocia reparti e fasce d'età, la quota di lavoratori stranieri per lingua madre, il numero di interinali e quello di idoneità con limitazione alla movimentazione manuale. Nessun nome, nessuna diagnosi, ma un quadro sufficiente per decidere dove intervenire. Errore tipico da evitare: chiedere ai capireparto di segnalare per iscritto chi ha problemi di salute, creando archivi paralleli non autorizzati.