Jaka jest podstawa prawna przetwarzania danych osobowych zawartych w rejestrze urazów prowadzonym przez pracodawcę?

Pracodawca rozważa wdrożenie u siebie prowadzonego z wykorzystaniem systemu teleinformatycznego stosowanego u pracodawcy rejestru urazów. Rejestr ma zawierać następujące pozycje: 1) data dokonania wpisu, 2) data kiedy doszło do urazu, 3) godzina kiedy doszło do urazu, 4) stanowisko pracy, na którym doszło do urazu, 5) miejsce urazu (rozwijana lista do wyboru): głowa, oko, twarz, tułów, kończyna górna, dłoń, kończyna dolna, stopa, 6) rodzaj urazu (rozwijana lista do wyboru: powierzchowny uraz, rana, złamanie, wiele obrażeń, uraz nieznany), 7) nazwa pracodawcy osoby poszkodowanej, 8) nazwisko i imię poszkodowanej osoby, 9) sposób udzielenia pomocy, 10) krótki opis okoliczności zdarzenia, 11) świadkowie zdarzenia, 12) nazwisko i imię osoby dokonującej wpisu do rejestru. Założenie jest takie, że kierownik komórki organizacyjnej, w której doszło do urazu loguje się do rejestru urazów i wpisuje do niego dane. Po zatwierdzeniu dane trafiają do rejestru jako kolejna jego pozycja. Kierownik komórki dokonuje jedynie wpisu urazu do rejestru. Nie ma możliwości późniejszego przeglądania jego pozycji, nawet wpisanych przez siebie. Wgląd do rejestru ma posiadać tylko osoba odpowiedzialna za BHP i jej zastępca.

Czy powyższe rozwiązanie jest dopuszczalne? Jaka powinna być podstawa przetwarzania danych osobowych? Jaki powinien być okres retencji danych zawartych w rejestrze?