Mbrojtja e të Dhënave në Sektorin Publik dhe Ligjzbatues: Zbatimi i Ligjit 124/2024 dhe Auditimi i Protokolleve
📌 Pikat Kryesore Ekzekutive
- Fusha Rregullatore: Ligji 124/2024 & Komisioneri (IDP)
- Data e Referimit: 2026-05-12
- Përmbledhja: Komisioneri për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale kërkon forcimin e procedurave të sigurisë dhe caktimin e nëpunësve të specializuar për mbrojtjen e të dhënave në organet ligjzbatuese dhe institucionet e drejtësisë.
- Rekomandimi i EON: Zbatimi i menjëhershëm i masave parandaluese teknike dhe organizative për të shmangur sanksionet administrative.
Rrethanat dhe Zhvillimi Rregullator
Mbrojtja e të dhënave personale në institucionet e drejtësisë dhe sigurisë publike, si dhe roli i Nëpunësit të Mbrojtjes së të Dhënave Personale (DPO), ishin në fokus të aktivitetit ndërgjegjësues të organizuar nga Zyra e Komisionerit për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale, me pjesëmarrjen e përfaqësuesve të sistemit të drejtësisë dhe sigurisë publike.
Në fjalën e tij, Komisioneri Besnik Dervishi e cilësoi ligjin nr. 124/2024 “Për mbrojtjen e të dhënave personale” si një hap të rëndësishëm drejt forcimit të garancive për të drejtat dhe liritë themelore të individit, duke theksuar se përdorimi i të dhënave personale nga autoritetet ligjzbatuese duhet të jetë gjithmonë i bazuar në ligj, proporcional dhe i lidhur ngushtë me qëllimin përkatës.
Komisioneri Dervishi nënvizoi se mbrojtja e të dhënave personale nuk duhet parë si pengesë për institucionet ligjzbatuese, por si një standard demokratik që rrit besimin e publikut tek institucionet. Ai theksoi gjithashtu se zbatimi efektiv i ligjit kërkon bashkëpunim institucional, investim në teknologji të sigurta, rritje të kapaciteteve profesionale dhe forcim të kulturës së mbrojtjes së të dhënave personale.
Gjatë aktivitetit, Zyra e Komisionerit prezantoi gjetjet dhe rekomandimet e dala nga proceset mbikëqyrëse dhe hetimet administrative të zhvilluara në autoritetet kompetente, duke evidentuar problematika konkrete që lidhen me mungesën e akteve të brendshme rregullatore për përpunimin e të dhënave personale, mungesën e procedurave të posaçme për të dhënat sensitive, ruajtjen e të dhënave personale përtej afateve të përcaktuara ligjore, si dhe mungesën e trajnimeve të vazhdueshme për stafin që përpunon të dhëna personale.
Analiza Ligjore sipas Ligjit Nr. 124/2024 & Praktikës së Komisionerit (IDP)
Ligji i ri nr. 124/2024 “Për mbrojtjen e të dhënave personale” sjell një përafrim të plotë të Shqipërisë me Rregulloren e Përgjithshme të BE-së (GDPR). Në fokus të inspektimeve dhe vendimeve të fundit administrative të Komisionerit janë identifikuar shkelje thelbësore që lidhen drejtpërdrejt me:
- Nenin 5 & 6 (Parimet e Përpunimit dhe Ligjshmëria): Ndalimi i përpunimit të të dhënave pa bazë të qartë ligjore ose pa pëlqim të vlefshëm e të dokumentuar (Neni 7).
- Nenin 12 & 13 (Transparenca dhe Informimi): Detyrimi për njoftime të qarta mbi privatësinë para fillimit të mbledhjes së të dhënave.
- Nenin 21 (E Drejta e Kundërshtimit): E drejta e qytetarëve për të refuzuar përpunimin për qëllime marketingu, profilizimi apo monitorimi.
- Nenin 35 & 36 (Masat Teknike dhe Organizative të Sigurisë): Mungesa e enkriptimit, fjalëkalimeve të sigurta dhe aksesit të kontrolluar.
- Nenin 41 & 42 (Nëpunësi për Mbrojtjen e të Dhënave – DPO): Detyrimi për caktimin e një DPO-je me njohuri profesionale të vërtetuara për kontrolluesit me volum të lartë të dhënash.
- Nenin 95 (Sanksionet Administrative): Penalitetet financiare mund të arrijnë deri në 2 miliardë lekë ose deri në 4% të xhiros vjetore globale të vitit financiar paraardhës.
Matrica e Detyrimeve dhe Rreziqeve për Kontrolluesit
| Kërkesa Ligjore | Baza sipas Ligjit 124/2024 | Niveli i Rrezikut | Veprimi i Rekomanduar nga Studio EON |
|---|---|---|---|
| Pëlqimi i Përdoruesit | Nenet 6 & 7 | Kritik (P0) | Formularë pëlqimi me ‘opt-in’ aktiv dhe ruajtje e provës. |
| Sistemet e Kamerave (CCTV) | Udhëzimi i IDP & Neni 35 | I Lartë (P1) | Njoftim vizual në hyrje, ndalim i monitorimit të zonave të pushimit të stafit. |
| Caktimi i DPO-së | Neni 41 | I Lartë (P1) | Outsourcing ose trajnim i brendshëm i certifikuar. |
| Regjistri i Përpunimit (RoPA) | Neni 30 | Mesatar (P2) | Hartimi i plotë i inventarit të bazave të të dhënave. |
Udhëzuesi Praktik i EON: Çfarë Duhet të Ndërmarrë Menjëherë Organizata Juaj?
Për t’u përshtatur me kërkesat e reja dhe për të minimizuar rrezikun e masave administrative apo dëmtimit të reputacionit, EON rekomandon një plan veprimi të strukturuar në tri faza:
- Faza P0 (Urgjente – Brenda 15 Ditëve): Kryerja e një GAP Analysis të menjëhershëm për të identifikuar zonat e ekspozuara; pezullimi i formave të paligjshme të mbledhjes së të dhënave (p.sh. video-survejimi i paautorizuar ose mungesa e njoftimeve).
- Faza P1 (Strukturore – Brenda 45 Ditëve): Hartimi i Politikave të Përditësuara të Privatësisë, caktimi formal i Nëpunësit për Mbrojtjen e të Dhënave (DPO), dhe nënshkrimi i Marrëveshjeve për Përpunimin e të Dhënave (DPA) me të gjithë nënkontraktorët.
- Faza P2 (Konsolidim – Brenda 90 Ditëve): Testimi teknik i sigurisë së sistemeve, certifikimi me standardet ndërkombëtare (si ISO/IEC 27001), dhe trajnimi i detyrueshëm i të gjithë stafit të përfshirë në menaxhimin e të dhënave.
Pyetje të Shpeshta (FAQ) mbi Zbatimin e Ligjit
1. A mjafton një politikë privatësie në uebsajt për të shmangur gjobat?
Jo. Komisioneri verifikon zbatimin faktik operacional (masat teknike, ruajtjen e sigurt, marrëveshjet DPA me përpunuesit e jashtëm). Politika në faqe është vetëm 10% e përputhshmërisë.
2. Çfarë ndodh nëse një biznes nuk cakton DPO kur e ka detyrim?
Mungesa e DPO-së përbën shkelje direkte administrative që sipas Ligjit 124 ndëshkohet me gjoba të shkallëzuara deri në ndalimin e përpunimit të të dhënave.
Keni Nevojë për Auditimin e Përputhshmërisë së Kompanisë Suaj?
Ekspertët ligjorë dhe teknikë të EON ju mbështesin në zbatimin e plotë të Ligjit 124/2024, Ligjit 25/2024 (NIS2), kërkesave të Komisionerit dhe standardeve ISO 27001.
