Pracownicze Plany Kapitałowe a ochrona danych osobowych

Data publikacji: 27-11-2020

Od 1 stycznia 2021 r. kolejna grupa pracodawców dołączy do programu PPK. Choć inne grupy, w tym największe na polskim rynku firmy, musiały mierzyć się z PPK już od stycznia 2020 r., to w praktyce nadal występuje wiele wątpliwości dotyczących funkcjonowania przepisów o PPK. Wątpliwości, które na pewno trzeba rozwiać, dotyczą przepisów o ochronie danych osobowych przy wdrażaniu i prowadzeniu PPK w organizacji.

Pracownicze plany kapitałowe, wprowadzone ustawą z 4 października 2018 r. o pracowniczych planach kapitałowych (dalej: ustawa o PPK), to system długoterminowego oszczędzania, oparty na wpłatach finansowanych przez osoby zatrudnione i podmioty zatrudniające oraz środkach z Funduszu Pracy (wpłaty powitalne i dopłaty roczne).

Od stycznia 2021 r. do PPK zostaną włączone następne grupy pracodawców:

  • jednostki samorządu terytorialnego oraz ich związki,
  • związki metropolitalne,
  • jednostki budżetowe,
  • samorządowe zakłady budżetowe.

Co w takim razie muszą zrobić pracodawcy należący do ww. grup?

Przede wszystkim wykonać zadania narzucone przez ustawę o PPK:

  • od 1 stycznia – objęcie sektora publicznego ustawą PPK,
  • do 26 lutego – czas na porozumienie ze stroną społeczną,
  • do 26 marca – zawarcie umowy z instytucją finansową o zarządzanie PPK,
  • do 10 kwietnia – zawarcie umowy o prowadzenie PPK.

Co oznacza ustawa o PPK dla pracowników i jakie są z niej korzyści?

  • automatyczny zapis dla osób do ukończenia 55. roku życia,
  • dla pracowników w wieku 55-70 lat zapis tylko na wniosek,
  • wpłaty z trzech źródeł: pracodawca, pracownik, budżet państwa,
  • jednorazowa opłata powitalna z budżetu państwa w kwocie 250 zł,
  • coroczna dopłata ze środków państwa w kwocie 240 zł,
  • możliwość wcześniejszego zrezygnowania,
  • wypłata zgromadzonych środków zasadniczo po 60 lat.

W którym momencie do PPK wkracza RODO?

Sprawy pracownicze bez wątpliwości wiążą się z przetwarzaniem danych osobowych, a czynności związane z obsługą PPK to kolejna operacja przetwarzania, która posiada swój odrębny cel przetwarzania danych osobowych oraz podstawę prawną przetwarzania.

Jakie dane osobowe pracodawca powinien pozyskać od uczestnika PPK?

Zgodnie z ustawą o PPK pracodawca ma obowiązek zebrać od pracownika i przekazać odpowiedniej instytucji finansowej dane identyfikujące uczestnika PPK, do których zaliczamy: imię (imiona), nazwisko, adres zamieszkania, adres do korespondencji, numer telefonu, adres poczty elektronicznej, numer PESEL lub data urodzenia w przypadku osób nieposiadających numeru PESEL, seria i numer dowodu osobistego lub numer paszportu albo innego dokumentu potwierdzającego tożsamość w przypadku osób, które nie posiadają obywatelstwa polskiego[1].

Na jakiej podstawie prawnej pracodawca pozyskuje te dane?

Podstawą prawną przetwarzania danych identyfikujących uczestnika będzie art. 6 ust. 1 lit. c RODO (obowiązek ciążący na administratorze wynikający z art. 2 ust. 1 pkt 3 ustawy o PPK).

A jak uregulować przekazywanie danych osobowych instytucji finansowej?

Stosunek między pracodawcą a instytucją finansową nie ma cech charakteryzujących powierzenie przetwarzania danych osobowych. Instytucja finansowa, prowadząca PPK, jest uznawana za odrębnego i samodzielnego administratora danych. To na niej ciążą określone obowiązki prawne wynikające z ustawy o PPK. Ponadto stosunek umowny pomiędzy instytucją finansową a uczestnikiem PPK trwa mimo ustania zatrudnienia u danego pracodawcy.

Czy jakieś obowiązki z zakresu ochrony danych osobowych ciążą na pracodawcy?

Mimo tego, że nie mamy do czynienia z sytuacją powierzenia przetwarzania danych, to na pracodawcy i tak ciąży kilka obowiązków związanych z PPK, pracodawca musi:

  • uwzględnić przetwarzanie danych związanych z PPK w rejestrze czynności przetwarzania (art. 30 ust. 1 RODO);
  • przeanalizować ryzyko przetwarzania danych w ramach PPK;
  • spełnić obowiązek informacyjny wobec pracowników w związku z celem, jakim jest podejmowanie czynności dotyczących PPK. Klauzula musi uwzględniać: konkretny cel przetwarzania, podstawę prawną, okres przechowywania oraz odbiorców (w tym instytucję finansową).

Nina Kowalik

Kancelaria Wyrzykowscy

[1] Art. 2 ust. 1 pkt 3 ustawy o PPK.

Zobacz także