1. PFR jest administratorem w rozumieniu rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.3) ) w zakresie danych, do których dostęp uzyskano na podstawie art. 8, art. 33 i art. 72–74.
2. Dane uczestników PPK uzyskane przez PFR lub podmiot, o którym mowa w art. 65, w wyniku realizacji zadań wynikających z ustawy podlegają obowiązkowi zachowania w tajemnicy. Do tajemnicy tej w zakresie nieuregulowanym w ustawie stosuje się odpowiednio przepisy o tajemnicy zawodowej, o której mowa odpowiednio w ustawie o funduszach inwestycyjnych, ustawie o organizacji i funkcjonowaniu funduszy emerytalnych oraz ustawie o działalności ubezpieczeniowej i reasekuracyjnej. Dane te przechowywane są do upływu terminu przedawnienia roszczeń związanych z umową o prowadzenie PPK.
3. Zobowiązani do zachowania tajemnicy, o której mowa w ust. 2, są osoby sprawujące funkcje kierownicze, pracownicy i osoby pozostające z PFR lub podmiotem, o którym mowa w art. 65, w stosunku zlecenia lub w innym stosunku prawnym o podobnym charakterze, mający dostęp do danych podmiotów obowiązanych do uiszczania opłat, o których mowa w art. 67 ust. 1.
3) Zmiana wymienionego rozporządzenia została ogłoszona w Dz. Urz. UE L 127 z 23.05.2018, str. 2.