Pracownicze plany kapitałowe zostały uregulowane ustawą z dnia 4 października 2018 r. o pracowniczych planach kapitałowych (dalej: „ustawa o PPK”), która weszła w życie w dniu 1 stycznia 2019 roku. Pracownicze plany kapitałowe (dalej: „PPK”) zgodnie z uzasadnieniem do projektu ustawy mają stanowić dodatkowy sposób powszechnego oszczędzania długoterminowego w sektorze przedsiębiorstw w ramach dobrowolnego tzw. III-filaru1 systemu emerytalnego.

Ustawa o PPK przewiduje wprowadzenie dwóch rodzajów umów nazwanych:

1. umowy o zarządzenie PPK oraz

2. umowy o prowadzenie PPK.

Stronami umowy o zarządzanie PPK są podmiot zatrudniający oraz instytucja finansowa. Podczas gdy stronami umowy o prowadzenie PPK są osoba zatrudniona oraz instytucja finansowa. To jednak podmiot zatrudniający zawiera umowę o prowadzenie PPK w imieniu i na rzecz osób zatrudnionych. Umowa o prowadzenie PPK jest zawierana z instytucjami finansowymi, z którymi podmiot zatrudniający zawarł umowę o zarządzanie PPK.

W przypadku zatem wdrażania PPK w przedsiębiorstwie automatycznie dojdzie do przetwarzania danych osobowych uczestników PPK przez podmiot zatrudniający czy instytucję finansową. Dla podmiotu zatrudniającego wiąże się to z dodatkowymi obowiązkami. Od momentu wdrożenia PPK bowiem podmiot zatrudniający (jako administrator) będzie przetwarzać dane uczestników w zakresie PPK (czyli wszystkich tych osób, które w związku z zatrudnieniem w podmiocie zatrudniającym staną się uczestnikami PPK).

Zgodnie z ustawą o PPK danymi identyfikującymi uczestnika PPK są: imię (imiona), nazwisko, adres zamieszkania, adres do korespondencji, numer telefonu, adres poczty elektronicznej, numer PESEL lub data urodzenia w przypadku osób nieposiadających numeru PESEL, seria i numer dowodu osobistego lub numer paszportu albo innego dokumentu potwierdzającego tożsamość w przypadku osób, które nie posiadają obywatelstwa polskiego.

W związku z wdrożeniem PPK oraz tym samym pojawieniem się nowego celu przetwarzania danych osobowych, podmiot zatrudniający powinien m.in. zrealizować wobec uczestników PPK obowiązek informacyjny wynikający z art. 13 RODO2. Przetwarzanie danych na potrzeby PPK jest bowiem celem przetwarzania, o którym uczestnik PPK nie był wcześniej informowany podczas zatrudniania. Obowiązek ten obejmuje przekazanie tylko tych informacji, które wcześniej nie zostały dostarczone (o których uczestnik PPK nie ma wiedzy). Zatem jeżeli podmiot zatrudniający zrealizował już wcześniej obowiązek informacyjny wynikający z RODO, dodatkowymi informacjami, które musi w związku z wdrożeniem przekazać uczestnikowi PPK mogą być m.in.:

1. Nowy cel przetwarzania danych osobowych, którym jest przetwarzanie danych na potrzeby PPK,

2. Podstawa prawna takiego przetwarzania, tj. art. 6 ust. 1 lit. c) RODO stanowiący o obowiązku prawnym ciążącym na administratorze. W jednym z wcześniejszych stanowisk PUODO3 wskazane zostało, że podstawą prawną przetwarzania danych w postaci numeru telefonu i adresu poczty elektronicznej powinno odbywać się na podstawie art. 6 ust. 1 lit. a) RODO, tj. w oparciu o wyrażoną przez uczestnika PPK zgodę. PUODO argumentował to faktem, iż przekazywane w umowie o prowadzenie PPK dane mają identyfikować uczestnika PPK. Tymczasem dane takie jak numer telefonu i adres poczty elektronicznej są danymi, które służą do sprawniejszego – niż za pośrednictwem poczty tradycyjnej – kontaktu z daną osobą fizyczną. Aktualnie PUODO stoi na stanowisku, że: „pracodawca ma obowiązek prawny przekazania danych osobowych m.in. w postaci adresu poczty elektronicznej i numeru telefonu od pracownika bez wyrażenia jego zgody do wybranej instytucji finansowej, o ile pracownik takie dane mu udostępni”4, dlatego przetwarzanie danych w postaci numeru telefonu i adresu poczty elektronicznej powinno odbywać się w oparciu o art. 6 ust. 1 lit. c) RODO. PUODO jednocześnie podkreśla w dalszym ciągu, że brak jest w polskim porządku prawnym przepisów zobowiązujących osoby fizyczne do posiadania numeru telefonu i poczty elektronicznej i w związku z tym należy zachować prawo do dobrowolności posiadania takich środków komunikacji i ich ujawniania.

3. Okres przetwarzania danych osobowych. Zgodnie ze stanowiskiem PUODO5 okres przetwarzania danych na potrzeby PPK powinien wynosić 10 lat (PUODO opiera swoje stanowisko m.in. o art. 125a ust. 4a ustawy o emeryturach i rentach z Funduszu Ubezpieczeń Społecznych oraz art. 94 ust. 9b Kodeksu pracy).

4. Nowy odbiorca danych (instytucji finansowej obsługującej PPK).

Powyższy obowiązek informacyjny może zostać zrealizowany np. na piśmie bądź drogą elektroniczną. Ważne jest, aby w myśl zasady rozliczalności, podmiot zatrudniający był w stanie wykazać w przyszłości, że spełniony został powyższy obowiązek.

W związku z wdrożeniem PPK mogą pojawiać się także dodatkowe, obok informacyjnego, obowiązki podmiotu zatrudniającego, m.in. takie jak obowiązek dokonania stosownej aktualizacji rejestru czynności przetwarzania danych osobowych czy przeprowadzenia aktualizacji oceny ryzyka przetwarzania danych osobowych w związku z celem przetwarzania danych na potrzeby PPK.

Na marginesie należy także zauważyć, że jeżeli wynika to z umowy zawartej z instytucją finansową wybranej do zarządzania PPK, podmiot zatrudniający powinien dodatkowo zrealizować obowiązek informacyjny wobec uczestników PPK, o którym mowa w art. 14 RODO, w imieniu tej instytucji.

Zespół Kancelarii

1 III filarem można nazwać sformalizowaną i wspieraną przez państwo formę oszczędzania na cele emerytalne.

2 Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).

3 Newsletter UODO dla inspektorów ochrony danych, Numer 6/2019 (6) Wrzesień 2019.

4 https://uodo.gov.pl/pl/138/1251

5 Tamże.