Penalitete deri në 20 Milionë Euro: Si po ndryshon Ligji i Ri 124/2024 peizazhin e mbrojtjes së të dhënave në Shqipëri
Hyrja në fuqi e Ligjit Nr. 124/2024 “Për mbrojtjen e të dhënave personale” shënon një kthesë rrënjësore në mënyrën se si subjektet private dhe publike në Shqipëri duhet të trajtojnë të dhënat personale. Pas precedentëve të mëparshëm të rrjedhjes së bazave të të dhënave të ndjeshme, legjislacioni shqiptar është përafruar plotësisht me Rregulloren e Përgjithshme të Bashkimit Evropian (GDPR – BE 2016/679).
Sipas analizës së publikuar së fundmi nga Revista Monitor, ky ligj vendos kufij të rinj dhe kërkesa shumë më rigoroze mbi ruajtjen, sigurinë teknike dhe llogaridhënien e kontrolluesve të të dhënave, duke i dhënë fund periudhës së trajtimit informal të privatësisë në tregun vendas.
1. Sanksionet Financiare: Tavani 20 Milionë Euro dhe Parimi i Proporcionalitetit
Një nga risitë thelbësore të Ligjit Nr. 124/2024 lidhet me regjimin e ri të sanksioneve administrative:
- Tavanet e Gjobave: Për shkeljet më të rënda, parashikohen penalitete deri në 2 miliardë lekë (ekuivalente me 20 milionë euro) ose deri në 4% të xhiros vjetore globale, duke shfuqizuar gjobat simbolike të legjislacionit të vjetër.
- Proporcionaliteti dhe Metodologjia e Re: Siç ka sqaruar Komisioneri për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale (IDP), z. Besnik Dervishi, gjobat nuk do të jenë arbitrare, por do të udhëhiqen nga parimi evropian i proporcionalitetit. Autoriteti ka hartuar një draft-metodologji të posaçme për përllogaritjen e masave administrative, mbështetur në udhëzimet e Bordit Evropian për Mbrojtjen e të Dhënave (EDPB).
- Faktorët Vlerësues: Përcaktimi i sanksionit merr në konsideratë natyrën e shkeljes, kategoritë e të dhënave të prekura, shkallën e bashkëpunimit me autoritetin, masat parandaluese teknike të marra paraprakisht nga subjekti, si dhe historikun e mëparshëm të përputhshmërisë.
Në nivel ndërkombëtar, vetëm gjatë vitit 2024 autoritetet evropiane lëshuan rreth 1.2 miliardë euro gjoba, teksa fokusi po zhvendoset gjithnjë e më shumë drejt profilizimit automatik dhe teknologjive të Inteligjencës Artificiale.
💡 Analiza & Këshilla e EON për Sipërmarrjet në Shqipëri
Përtej raportimeve mediatike, çfarë do të thotë konkretisht ky ndryshim për një kompani që operon në tregun shqiptar? Ekspertët e Studio EON analizojnë hapat thelbësorë që duhet të ndërmarrë çdo kontrollues i të dhënave.
Ndryshimi nga Qasja Formale në “Llogaridhënie Reale” (Accountability)
Nën regjimin e vjetër ligjor, shumë subjekte mjaftoheshin me një njoftim standard pranë autoritetit apo me një deklaratë formale në faqen e internetit. Me Ligjin Nr. 124/2024, barra e provës bie tërësisht mbi kompaninë: ju duhet të jeni në gjendje të provoni në çdo moment se si, pse dhe me çfarë masash sigurie i përpunoni të dhënat.
Praktika e inspektimeve administrative tregon se sektorët me vëllim të lartë të dhënash — si institucionet financiare e bankare, operatorët e telekomunikacionit, subjektet e kujdesit shëndetësor dhe platformat e tregtisë elektronike — janë nën vëzhgim të shtuar për:
- Përpunimin pa pëlqim të vlefshëm ose pa bazë ligjore të qartë.
- Mungesën e marrëveshjeve me palët e treta (Data Processors).
- Vonesat në trajtimin e kërkesave të qytetarëve për fshirjen ose aksesin e të dhënave.
📋 Katër Hapat që Çdo Kompani Duhet të Ndërmarrë Menjëherë:
- Përgatitja e Regjistrit të Aktiviteteve të Përpunimit (RoPA):
Sipas Nenit 27 të Ligjit Nr. 124/2024 (dhe Nenit 30 të GDPR), çdo organizatë duhet të ketë të dokumentuara të gjitha proceset ku qarkullojnë të dhëna personale (burimet njerëzore, shitjet, marketingu, sistemet e kamerave CCTV). - Përcaktimi i Nëpunësit të Mbrojtjes së të Dhënave (NMDH / DPO):
Sipas Neneve 33–34 të Ligjit Nr. 124/2024 (dhe Neneve 37–39 të GDPR), emërimi i një DPO-je bëhet i detyrueshëm për të gjitha subjektet publike si dhe për kompanitë private aktiviteti kryesor i të cilave përfshin monitorim të rregullt e sistematik në shkallë të gjerë. - Protokolli i Menaxhimit të Shkeljeve të Sigurisë (Data Breach brenda 72 Orëve):
Sipas Nenit 29 të Ligjit Nr. 124/2024, në rast të një rrjedhjeje apo incidenti kibernetik, kontrolluesi është i detyruar të njoftojë Komisionerin brenda 72 orëve nga momenti i marrjes dijeni, së bashku me masat korrigjuese të marra. - Rishikimi i Marrëveshjeve me Furnitorët dhe Përpunuesit (DPA):
Çdo partner i jashtëm (kompani IT, softuerë cloud, zyra kontabiliteti) që prek të dhënat tuaja duhet të ketë një kontratë të përditësuar përpunimi me klauzola të sakta teknike e organizative.
Si ju ndihmon EON dhe Platforma GDPR365?
Përputhshmëria me Ligjin Nr. 124/2024 nuk ka pse të kthehet në një barrë të rëndë burokratike. EON mbështet bizneset me:
- Gap Analysis & Audit të Plotë të Sistemeve: Identifikimin e menjëhershëm të pikave të dobëta dhe hartimin e një plani veprimi hap-pas-hapi.
- Shërbimin e DPO-së së Jashtme (Outsourced DPO): Ekspertizë ligjore dhe teknike e certifikuar, pa kosto fikse të larta administrative.
- Platformën GDPR365: Software-i i specializuar që automatizon menaxhimin e Regjistrave (RoPA), kërkesat e subjekteve (DSR) dhe vlerësimet e ndikimit (DPIA) me një klikim.
Kontaktoni me ekspertët e Studio EON: Për një vlerësim paraprak të nivelit të përputhshmërisë së kompanisë suaj me Ligjin Nr. 124/2024, kërkoni një konsultë këtu →
Shënim Editorial: Informacioni faktik i këtij artikulli bazohet në raportimin dhe intervistën e publikuar më 28 Shkurt 2025 nga Revista Monitor (Autor: Nertila Maho), në përputhje me Ligjin Nr. 35/2016 “Për të drejtat e autorit dhe të drejtat e lidhura me to”. Analiza ligjore dhe komentet teknike janë përgatitur nga stafi ligjor i EON.
