Inspektimet e Komisionerit në Turizëm dhe Shëndetësi: Të Dhënat Sensitive Mjekësore dhe Masat e Sigurisë EON
📌 Pikat Kryesore Ekzekutive
- Fusha Rregullatore: Ligji 124/2024 & Komisioneri (IDP)
- Data e Referimit: 2026-03-18
- Përmbledhja: Pas inspektimeve në sektorin e teknologjisë, Komisioneri ka zgjeruar kontrollet dhe ka vendosur sanksione administrative në sektorin e turizmit dhe laboratorët mjekësorë, ku përpunimi i të dhënave të ndjeshme shëndetësore kërkon masa të posaçme mbrojtëse.
- Rekomandimi i EON: Zbatimi i menjëhershëm i masave parandaluese teknike dhe organizative për të shmangur sanksionet administrative.
Rrethanat dhe Zhvillimi Rregullator
Pas kontrolleve në kompanitë e teknologjisë së Informacionit ku Komisioneri për të Drejtën e Informimit dhe Mbrojtën e të Dhënave Personale hasi shkelje dhe vendosi disa masa administrative me vlerë mijëra euro duket se radha ka qenë e turizmit dhe klinikave.
Konkretisht vendimet e fundit të Komisionerit për gjoba i takojnë subjekteve që operojnë si agjenci turistike, struktura akomoduese dhe një një laborator mjekësor diagnostikësor.
Mbrojtja e të dhënave personale, Komisioneri kontrolle te kompanitë IT, 3 subjekte gjoba 95 mijë €
Për operatorin turistik Komsioneri ka vendosur masa administrative në vlerë kumulative prej 800 mijë lekësh teksa ka kërkuar që të merren masa për monitorimin me kamera.
Analiza Ligjore sipas Ligjit Nr. 124/2024 & Praktikës së Komisionerit (IDP)
Ligji i ri nr. 124/2024 “Për mbrojtjen e të dhënave personale” sjell një përafrim të plotë të Shqipërisë me Rregulloren e Përgjithshme të BE-së (GDPR). Në fokus të inspektimeve dhe vendimeve të fundit administrative të Komisionerit janë identifikuar shkelje thelbësore që lidhen drejtpërdrejt me:
- Nenin 5 & 6 (Parimet e Përpunimit dhe Ligjshmëria): Ndalimi i përpunimit të të dhënave pa bazë të qartë ligjore ose pa pëlqim të vlefshëm e të dokumentuar (Neni 7).
- Nenin 12 & 13 (Transparenca dhe Informimi): Detyrimi për njoftime të qarta mbi privatësinë para fillimit të mbledhjes së të dhënave.
- Nenin 21 (E Drejta e Kundërshtimit): E drejta e qytetarëve për të refuzuar përpunimin për qëllime marketingu, profilizimi apo monitorimi.
- Nenin 35 & 36 (Masat Teknike dhe Organizative të Sigurisë): Mungesa e enkriptimit, fjalëkalimeve të sigurta dhe aksesit të kontrolluar.
- Nenin 41 & 42 (Nëpunësi për Mbrojtjen e të Dhënave – DPO): Detyrimi për caktimin e një DPO-je me njohuri profesionale të vërtetuara për kontrolluesit me volum të lartë të dhënash.
- Nenin 95 (Sanksionet Administrative): Penalitetet financiare mund të arrijnë deri në 2 miliardë lekë ose deri në 4% të xhiros vjetore globale të vitit financiar paraardhës.
Matrica e Detyrimeve dhe Rreziqeve për Kontrolluesit
| Kërkesa Ligjore | Baza sipas Ligjit 124/2024 | Niveli i Rrezikut | Veprimi i Rekomanduar nga Studio EON |
|---|---|---|---|
| Pëlqimi i Përdoruesit | Nenet 6 & 7 | Kritik (P0) | Formularë pëlqimi me ‘opt-in’ aktiv dhe ruajtje e provës. |
| Sistemet e Kamerave (CCTV) | Udhëzimi i IDP & Neni 35 | I Lartë (P1) | Njoftim vizual në hyrje, ndalim i monitorimit të zonave të pushimit të stafit. |
| Caktimi i DPO-së | Neni 41 | I Lartë (P1) | Outsourcing ose trajnim i brendshëm i certifikuar. |
| Regjistri i Përpunimit (RoPA) | Neni 30 | Mesatar (P2) | Hartimi i plotë i inventarit të bazave të të dhënave. |
Udhëzuesi Praktik i EON: Çfarë Duhet të Ndërmarrë Menjëherë Organizata Juaj?
Për t’u përshtatur me kërkesat e reja dhe për të minimizuar rrezikun e masave administrative apo dëmtimit të reputacionit, EON rekomandon një plan veprimi të strukturuar në tri faza:
- Faza P0 (Urgjente – Brenda 15 Ditëve): Kryerja e një GAP Analysis të menjëhershëm për të identifikuar zonat e ekspozuara; pezullimi i formave të paligjshme të mbledhjes së të dhënave (p.sh. video-survejimi i paautorizuar ose mungesa e njoftimeve).
- Faza P1 (Strukturore – Brenda 45 Ditëve): Hartimi i Politikave të Përditësuara të Privatësisë, caktimi formal i Nëpunësit për Mbrojtjen e të Dhënave (DPO), dhe nënshkrimi i Marrëveshjeve për Përpunimin e të Dhënave (DPA) me të gjithë nënkontraktorët.
- Faza P2 (Konsolidim – Brenda 90 Ditëve): Testimi teknik i sigurisë së sistemeve, certifikimi me standardet ndërkombëtare (si ISO/IEC 27001), dhe trajnimi i detyrueshëm i të gjithë stafit të përfshirë në menaxhimin e të dhënave.
Pyetje të Shpeshta (FAQ) mbi Zbatimin e Ligjit
1. A mjafton një politikë privatësie në uebsajt për të shmangur gjobat?
Jo. Komisioneri verifikon zbatimin faktik operacional (masat teknike, ruajtjen e sigurt, marrëveshjet DPA me përpunuesit e jashtëm). Politika në faqe është vetëm 10% e përputhshmërisë.
2. Çfarë ndodh nëse një biznes nuk cakton DPO kur e ka detyrim?
Mungesa e DPO-së përbën shkelje direkte administrative që sipas Ligjit 124 ndëshkohet me gjoba të shkallëzuara deri në ndalimin e përpunimit të të dhënave.
Keni Nevojë për Auditimin e Përputhshmërisë së Kompanisë Suaj?
Ekspertët ligjorë dhe teknikë të EON ju mbështesin në zbatimin e plotë të Ligjit 124/2024, Ligjit 25/2024 (NIS2), kërkesave të Komisionerit dhe standardeve ISO 27001.
