Z ustawy wynika, że tak, ale resort finansów i PFR uważają, że nie. Co innego instytucje finansowe. Dla nich stanowiska urzędów nie są wiążące i stosowanie przepisów jest priorytetem.
1 lipca 2019 r. podmioty zatrudniające na dzień 31 grudnia 2018 r. co najmniej 250 osób zostały objęte obowiązkiem tworzenia pracowniczych planów kapitałowych (PPK). Elementem tego procesu jest zawarcie umowy o prowadzenie PPK. Zgodnie z art. 14 ustawy o pracowniczych planach kapitałowych (Dz.U. z 2018 r. poz. 2215 z późn. zm. – dalej ustawa) jest to umowa zawierana przez podmiot zatrudniający w imieniu i na rzecz osób zatrudnionych z instytucją finansową, która została wybrana do prowadzenia PPK. Umowa ta reguluje prawa i obowiązki uczestników PPK w stosunku do instytucji finansowej i vice versa, a obligatoryjne jej elementy określa art. 20 ustawy. Jednym z nich są dane identyfikujące uczestnika PPK. Wskazanie ich jest kluczowe, gdyż pozwala zidentyfikować osobę uczestniczącą w PPK, przypisać jej dokonane wpłaty oraz umożliwić korzystanie z dalszych uprawnień związanych z uczestnictwem w PPK, takich jak chociażby rozporządzenie nimi na wypadek śmierci, dokonanie wypłaty transferowej czy żądanie zwrotu zgromadzonych środków.
Uwaga! Zgodnie z art. 2 ust. 1 pkt 3 ustawy dane identyfikujące uczestnika PPK obejmują:
- imię (imiona) i nazwisko uczestnika,
- adres zamieszkania i adres korespondencji,
- numer telefonu,
- adres poczty elektronicznej,
- numer PESEL lub datę urodzenia w przypadku osób nieposiadającychnumeru PESEL (np. cudzoziemców),
- serię i numer dowodu osobistego, a w przypadku osób nieposiadających obywatelstwa polskiego – numer paszportu lub innego dokumentu potwierdzającego tożsamość takiej osoby.
O ile konieczność wskazania imion i nazwisk uczestników, a także ich adresów zamieszkania, korespondencji i numerów PESEL (dat urodzenia w przypadku cudzoziemców) nie budzi większych wątpliwości, o tyle pojawiają się one w przypadku pozostałych danych. Co do zasady bowiem podmioty zatrudniające (a więc przede wszystkim pracodawcy) ich nie posiadają albo – zgodnie z najnowszymi przepisami dotyczącymi ochrony danych osobowych – posiadać nie powinni.
Blokuje kodeks pracy
Powyższe dane są danymi osobowymi w rozumieniu rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych – RODO; Dz.Urz. UE L 119 z 04.05.2016) i ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz.U z 2018 r. poz. 1000). Należy zatem stosować do nich reżim właściwy dla danych osobowych. I tak zgodnie z art. 221 kodeksu pracy pracodawca ma prawo przetwarzać w szczególności takie dane osobowe pracowników jak imię (imiona) i nazwisko, datę urodzenia, numer PESEL albo serię i numer dokumentu tożsamości w przypadku braku numeru PESEL oraz wskazane dane kontaktowe (tym przypadku to pracownik decyduje o tym, jakie są to dane). Kodeks pracy nie przewiduje możliwości pozyskiwania numeru i serii dowodu osobistego od osób obywatelstwa polskiego. Co prawda wielu pracodawców nadal posiada te dane w swoich zbiorach (np. w postaci kopii dowodu osobistego w teczkach osobowych pracowników), lecz obecnie nie mają oni podstawy prawnej do ich przetwarzania.
Niektórzy są bezpieczni
Sytuacja zmieniła się 1 lipca w odniesieniu do podmiotów objętych od tej daty obowiązkiem tworzenia PPK. One mają już podstawę prawną do przetwarzania danych identyfikujących uczestników PPK w rozumieniu art. 2 ust. 1 pkt 3 ustawy, a jest nią art. 20 ust. 1 pkt 2 ustawy w związku z art. 2 ust. 1 pkt 3 ustawy. Oznacza to zatem, że pracodawcy (a szerzej – podmioty zatrudniające) mogą więc żądać od osób zatrudnionych wszystkich danych wskazanych w art. 2 ust. 1 pkt3 ustawy, tj. również m.in. serii i numerów dowodów osobistych oraz numeru telefonu czy adresu poczty elektronicznej. Zarówno pozyskanie, jak i dalsze przetwarzanie tych danych nie wymaga przy tym zgody pracownika. Trzeba tylko – zgodnie z art. 13 RODO – poinformować go o celach i zakresie przetwarzania tych danych.
Powyższe dane można pozyskać, przedkładając pracownikom do wypełnienia odpowiedni formularz. Może on zawierać jednocześnie klauzulę informacyjną – w ten sposób zostanie zrealizowany obowiązek informacyjny. Ale, co ważne, dane – w tym przede wszystkim serię i numer dowodu osobistego – można pozyskać tylko od pracowników, którzy nie ukończyli 55. roku życia (na dzień zawarcia umowy o prowadzenie PPK – przyjmijmy, że umowa zostanie zawarta w ostatnim możliwym terminie, tj. 12 listopada 2019 r.). One bowiem zostaną zapisane do PPK automatycznie. I jeżeli wcześniej się nie wypiszą z systemu, to na dzień zawierania umowy o prowadzenie PPK dane identyfikujące trzeba będzie mieć. Nie ma natomiast obowiązku zbierania takich danych od osób pomiędzy 55. a 70. rokiem życia. One nie są objęte automatycznym zapisem do PPK.
Pracodawcy: praca na wyrost
Oczywiście perspektywa zbierania dodatkowych danych osobowych pracowników wzbudza u wielu przedsiębiorców szereg emocji. Jest to bowiem proces czasochłonny, wymagający dodatkowych zasobów w celu weryfikacji poprawności danych. Pracodawcy najchętniej ograniczyliby się do danych, którymi obecnie dysponują. Jest to o tyle zasadne, że imię i nazwisko pracownika oraz jego numer PESEL – a w przypadku osób nieposiadających numeru PESEL, seria i numer dokumentu tożsamości – pozwalają w 100 proc. zidentyfikować danego pracownika na potrzeby PPK. Z punktu widzenia pracodawców zbieranie dodatkowych danych jest zatem całkowicie niepotrzebne. Dotyczy to również numeru telefonu czy adresu poczty elektronicznej uczestnika PPK. Wystarczy przecież, by w umowie o zarządzanie PPK strony uregulowały kwestię pierwszego kontaktu pomiędzy uczestnikiem i instytucją finansową – taki kontakt może odbywać się za pośrednictwem zwykłego listu czy też strony internetowej/aplikacji instytucji finansowej i weryfikacji za pośrednictwem np. numeru PESEL czy daty urodzenia.
Obawy pracodawców co do zbierania dodatkowych danych osobowych są tym bardziej zasadne, że ewentualne błędy w tych danych zgłaszanych instytucji finansowej będą obciążały ich. Pliki rejestrujące uczestników PPK niezawierające obowiązkowych danych (np. serii i numeru dowodu osobistego) czy zawierające błędy (np. w numerze PESEL) będą traktowane jako błędne i zostaną odrzucone. Takie postanowienia widnieją w procedurach niektórych instytucji finansowych (nie widzieliśmy jeszcze wszystkich umów). W konsekwencji nie dojdzie do zawarcia w imieniu tych osób umowy o prowadzenie PPK we właściwym terminie i skutki tego będą obciążały pracodawcę. A teoretycznie niezawarcie umowy w terminie może stanowić wykroczenie zagrożone karą finansową do 1 mln zł.
wAŻNE Zgodnie z kodeksem pracy wśród danych, które można pozyskać od pracownika, nie ma numeru i serii dowodu osobistego. Dotyczy to jednak tylko obywateli polskich.
Ministerstwo i fundusz przychodzą w sukurs
W sukurs pracodawcom przyszedł jednak Polski Fundusz Rozwoju, nadzorujący wprowadzenie PPK w Polsce, oraz Ministerstwo Finansów. PFR w swoich wyjaśnieniach dostępnych na stronie Mojeppk.pl wskazał, iż „adres poczty elektronicznej, numer telefonu, a w przypadku osób posiadających numer PESEL również rodzaj, seria i numer dokumentu potwierdzającego tożsamość nie stanowią obligatoryjnej danej uczestnika PPK, której podanie jest niezbędne przy zawieraniu dla niego umowy o prowadzenie PPK”. Niestety, PFR nie uzasadnił swojego stanowiska. I trudno uznać je za zgodne z ustawą, bo ta nie zawiera żadnego wykluczenia, nie wskazuje też na dobrowolność w podaniu tych danych. Wręcz przeciwnie, literalna interpretacja przepisów wskazuje na konieczność podania tych danych – jako elementu umowy o prowadzenie PPK. Oczywiście można podnosić, iż celem podania danych identyfikacyjnych uczestnika PPK jest jego 100-proc. identyfikacja, a do tego wystarczą imię i nazwisko oraz numer PESEL w przypadku obywateli polskich, a w przypadku cudzoziemców data urodzenia w miejsce numeru PESEL. Idąc jednak tym tropem, należałoby uznać, że obligatoryjne nie są również adres zamieszkania i adres korespondencji oraz numery innych dokumentów tożsamości w przypadku cudzoziemców. Tymczasem PFR te dane uznaje za obligatoryjne.
W ocenie PFR również Ministerstwo Finansów nie wymaga podawania serii i numerów dowodów osobistych w przypadku osób posiadających numery PESEL. Ministerstwo uznało, że podmiot zatrudniający, będąc płatnikiem składek na ubezpieczenia społeczne w rozumieniu ustawy z dnia 13 października 1998 r. o systemie ubezpieczeń społecznych (Dz.U. z 2019 r. poz. 300 z późn. zm.), jest jednocześnie podmiotem uznanym za wiarygodne i niezależne źródło informacji w rozumieniu art. 37 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz.U. z 2019 r. poz. 1115). W konsekwencji instytucja finansowa nie jest zobowiązana weryfikować tożsamości klienta – uczestnika PPK na podstawie dokumentu stwierdzającego tożsamość takiego jak dowód osobisty. Wystarczy identyfikacja uczestnika – obywatela polskiego – za pośrednictwem imienia i nazwiska oraz numeru PESEL. Zgodnie bowiem z art. 42 tej ustawy przystąpienie do PPK powinno kreować niższe ryzyko prania pieniędzy oraz finansowania terroryzmu i w konsekwencji instytucje finansowe mogą stosować uproszczone środki bezpieczeństwa po przeprowadzeniu oceny ryzyka prania pieniędzy oraz finansowania terroryzmu. Decyzja w tym zakresie zależy jednak od instytucji finansowych.
Pojawia się oczywiście pytanie o zasadność takiej interpretacji ze względu na brak bezpośredniego powiązania ustawy z ustawą o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Inny jest cel tych dwóch aktów prawnych w zakresie pozyskiwanych danych osobowych. Co istotne, powszechne towarzystwa emerytalne również ofertujące PPK nie są objęte przepisami ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu i nie są zobowiązane dokonywać tej weryfikacji na podstawie jej przepisów, ale nadal są objęte przepisami ustawy w zakresie PPK.
Pracodawcy muszą być czujni. Jeśli nie podadzą instytucji finansowej wszystkich danych, o które prosi, rejestracja pracownika się nie powiedzie, a im za to grozi kara.
Pomoc nieuzasadniona prawnie
Nie rozstrzygając powyższej kwestii, wydawałoby się, że sprawa zbierania co najmniej serii i numerów dowodów osobistych na potrzeby PPK została zamknięta i nikt tych danych nie będzie wymagał do pracodawców. Tak się jednak nie stało. Niektóre z instytucji finansowych wyraźnie wskazują bowiem w swoich umowach dotyczących PPK na konieczność podawania tych danych. Numer i seria dowodu są wskazane jako dana obligatoryjna, takiego charakteru najczęściej nie mają natomiast numer telefonu i adres poczty elektronicznej – te można podać opcjonalnie. Niepodanie zatem danej obligatoryjnej w postaci serii i numeru dowodów osobistych może skutkować odrzuceniem pliku rejestracyjnego ze wszystkimi tego konsekwencjami. W negocjacjach dotyczących tych umów instytucje te wskazują, że zarówno przepisy ustawy o PPK, jak i ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu nakładają na nie obowiązek pozyskania tych danych, a komunikaty PFR czy Ministerstwa Finansów nie są dla nich wiążące.
Wygląda zatem na to, że wszystko zależy od stanowiska wybranej instytucji finansowej. Jeżeli nie będzie wymagała podawania tych danych i strony wskażą w umowie o zarządzanie stosowną procedurę weryfikacji (za pomocą jakich danych), to istnieją mocne podstawy, aby serii i numeru dowodu osobistego nie pozyskiwać. Ale jeżeli instytucje będą wymagały tych danych, to należy je niezwłocznie pozyskać od wszystkich pracowników, którzy nie ukończyli 55. roku życia i nie wypisali się jeszcze z PPK. Należy przy tym pamiętać o obowiązku informacyjnym wobec tych osób.
