Përputhshmëria me Ligjin 124/2024: Pse Siguria e të Dhënave është Sfidë Operacionale dhe Jo Thjesht Juridike
📌 Pikat Kryesore Ekzekutive
- Fusha Rregullatore: Ligji 124/2024 & Komisioneri (IDP)
- Data e Referimit: 2026-09-14
- Përmbledhja: Zbatimi i Ligjit Nr. 124/2024 kërkon transformim thelbësor operacional, duke integruar masa teknike të sigurisë, procedura të dokumentuara dhe trajnim stafi, dhe jo thjesht përshtatje formale dokumentare të politikave të privatësisë.
- Rekomandimi i EON: Zbatimi i menjëhershëm i masave parandaluese teknike dhe organizative për të shmangur sanksionet administrative.
Rrethanat dhe Zhvillimi Rregullator
Nga Henri Hila, themelues dhe drejtor ekzekutiv i PrivaxisOS
Në javët e para të vitit 2026, Komisioneri për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale inspektoi ofrues shërbimesh në disa sektorë, mes tyre teknologjinë e informacionit, qendrat e thirrjeve, agjencitë turistike dhe qendrat mjekësore. Tre kompani IT u gjobitën me gjithsej rreth 95 mijë euro. Gjatë gjithë vitit 2025, ndaj subjekteve private ishin vendosur dy gjoba. Vetëm në dy muajt e parë të 2026-s u vendosën gjashtë.
Ky nuk është ndryshim statistikor. Është ndryshim faze.
Ligji nr. 124/2024 “Për mbrojtjen e të dhënave personale” hyri në fuqi në fillim të vitit 2025 dhe solli në legjislacionin shqiptar arkitekturën e Rregullores së Përgjithshme të Mbrojtjes së të Dhënave të Bashkimit Evropian (GDPR). Viti i parë ishte, në praktikë, periudhë ndërgjegjësimi: autoriteti mbikëqyrës shpjegoi, udhëzoi dhe bëri pyetje. Periudha kalimtare mbyllet në janar 2027. Nga ajo pikë e tutje, pyetja që do t’i bëhet një kompanie nuk do të jetë nëse e njeh ligjin, por nëse mund të provojë se e zbaton.
Analiza Ligjore sipas Ligjit Nr. 124/2024 & Praktikës së Komisionerit (IDP)
Ligji i ri nr. 124/2024 “Për mbrojtjen e të dhënave personale” sjell një përafrim të plotë të Shqipërisë me Rregulloren e Përgjithshme të BE-së (GDPR). Në fokus të inspektimeve dhe vendimeve të fundit administrative të Komisionerit janë identifikuar shkelje thelbësore që lidhen drejtpërdrejt me:
- Nenin 5 & 6 (Parimet e Përpunimit dhe Ligjshmëria): Ndalimi i përpunimit të të dhënave pa bazë të qartë ligjore ose pa pëlqim të vlefshëm e të dokumentuar (Neni 7).
- Nenin 12 & 13 (Transparenca dhe Informimi): Detyrimi për njoftime të qarta mbi privatësinë para fillimit të mbledhjes së të dhënave.
- Nenin 21 (E Drejta e Kundërshtimit): E drejta e qytetarëve për të refuzuar përpunimin për qëllime marketingu, profilizimi apo monitorimi.
- Nenin 35 & 36 (Masat Teknike dhe Organizative të Sigurisë): Mungesa e enkriptimit, fjalëkalimeve të sigurta dhe aksesit të kontrolluar.
- Nenin 41 & 42 (Nëpunësi për Mbrojtjen e të Dhënave – DPO): Detyrimi për caktimin e një DPO-je me njohuri profesionale të vërtetuara për kontrolluesit me volum të lartë të dhënash.
- Nenin 95 (Sanksionet Administrative): Penalitetet financiare mund të arrijnë deri në 2 miliardë lekë ose deri në 4% të xhiros vjetore globale të vitit financiar paraardhës.
Matrica e Detyrimeve dhe Rreziqeve për Kontrolluesit
| Kërkesa Ligjore | Baza sipas Ligjit 124/2024 | Niveli i Rrezikut | Veprimi i Rekomanduar nga Studio EON |
|---|---|---|---|
| Pëlqimi i Përdoruesit | Nenet 6 & 7 | Kritik (P0) | Formularë pëlqimi me ‘opt-in’ aktiv dhe ruajtje e provës. |
| Sistemet e Kamerave (CCTV) | Udhëzimi i IDP & Neni 35 | I Lartë (P1) | Njoftim vizual në hyrje, ndalim i monitorimit të zonave të pushimit të stafit. |
| Caktimi i DPO-së | Neni 41 | I Lartë (P1) | Outsourcing ose trajnim i brendshëm i certifikuar. |
| Regjistri i Përpunimit (RoPA) | Neni 30 | Mesatar (P2) | Hartimi i plotë i inventarit të bazave të të dhënave. |
Udhëzuesi Praktik i EON: Çfarë Duhet të Ndërmarrë Menjëherë Organizata Juaj?
Për t’u përshtatur me kërkesat e reja dhe për të minimizuar rrezikun e masave administrative apo dëmtimit të reputacionit, EON rekomandon një plan veprimi të strukturuar në tri faza:
- Faza P0 (Urgjente – Brenda 15 Ditëve): Kryerja e një GAP Analysis të menjëhershëm për të identifikuar zonat e ekspozuara; pezullimi i formave të paligjshme të mbledhjes së të dhënave (p.sh. video-survejimi i paautorizuar ose mungesa e njoftimeve).
- Faza P1 (Strukturore – Brenda 45 Ditëve): Hartimi i Politikave të Përditësuara të Privatësisë, caktimi formal i Nëpunësit për Mbrojtjen e të Dhënave (DPO), dhe nënshkrimi i Marrëveshjeve për Përpunimin e të Dhënave (DPA) me të gjithë nënkontraktorët.
- Faza P2 (Konsolidim – Brenda 90 Ditëve): Testimi teknik i sigurisë së sistemeve, certifikimi me standardet ndërkombëtare (si ISO/IEC 27001), dhe trajnimi i detyrueshëm i të gjithë stafit të përfshirë në menaxhimin e të dhënave.
Pyetje të Shpeshta (FAQ) mbi Zbatimin e Ligjit
1. A mjafton një politikë privatësie në uebsajt për të shmangur gjobat?
Jo. Komisioneri verifikon zbatimin faktik operacional (masat teknike, ruajtjen e sigurt, marrëveshjet DPA me përpunuesit e jashtëm). Politika në faqe është vetëm 10% e përputhshmërisë.
2. Çfarë ndodh nëse një biznes nuk cakton DPO kur e ka detyrim?
Mungesa e DPO-së përbën shkelje direkte administrative që sipas Ligjit 124 ndëshkohet me gjoba të shkallëzuara deri në ndalimin e përpunimit të të dhënave.
Keni Nevojë për Auditimin e Përputhshmërisë së Kompanisë Suaj?
Ekspertët ligjorë dhe teknikë të EON ju mbështesin në zbatimin e plotë të Ligjit 124/2024, Ligjit 25/2024 (NIS2), kërkesave të Komisionerit dhe standardeve ISO 27001.
