Ponieważ przepisy prawa krajowego określają sytuacje, w których uczestnik PPK przekazuje instytucji finansowej dane dotyczące poważnego zachorowania, to właśnie one wraz z art. 9 ust. 2 lit. b RODO stanowią podstawą uprawniającą instytucję finansową do przetwarzania danych o stanie zdrowia uczestnika PPK, jego współmałżonka lub dziecka.

Zgodnie z art. 101 ust. 1 ustawy z dnia 4 października 2018 r. o pracowniczych planach kapitałowych, uczestnik PPK w przypadku poważnego zachorowania zarówno swojego, jak i małżonka lub dziecka, może wnioskować o wypłatę do 25% środków zgromadzonych na swoim rachunku PPK. Artykuł 101 ust. 2 wymienionej ustawy stanowi zaś, że wniosek o wypłatę, o której mowa w ust. 1, uczestnik PPK składa wybranej instytucji finansowej. Do wniosku o wypłatę dołącza orzeczenie, o którym mowa w art. 2 ust. 1 pkt 23 lit. a-c, tj. orzeczenie lekarza orzecznika lub komisji lekarskiej Zakładu Ubezpieczeń Społecznych, albo orzeczenie zespołu do spraw orzekania o niepełnosprawności, lub zaświadczenie lekarza medycyny potwierdzające diagnozę wystąpienia poważnego zachorowania, o którym mowa w art. 2 ust. 1 pkt 23 lit. d lub e. Biorąc pod uwagę tak ukształtowany stan prawny, podstawą przetwarzania danych o stanie zdrowia uczestnika PPK przez instytucję finansową jest art. 9 ust. 2 lit. b RODO, zgodnie z którym przetwarzanie szczególnych kategorii danych osobowych, w tym danych dotyczących zdrowia, jest dopuszczalne, gdy jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii Europejskiej lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą.