Gjobë Rekord 25 Miliardë Dollarë ndaj Meta-s për Mashtrim mbi Privatësinë: Mësimet për Zbatimin e Ligjit 124/2024 dhe GDPR
📌 Pikat Kryesore Ekzekutive
- Fusha Rregullatore: GDPR & Rregullore Ndërkombëtare
- Data e Referimit: 2026-10-22
- Përmbledhja: Një gjykatës në SHBA ka urdhëruar Meta-n të paguajë një sanksion historik prej 25 miliardë dollarësh pas provimit të mashtrimit të vazhdueshëm mbi privatësinë dhe transferimin e paautorizuar të të dhënave të përdoruesve. Ekspertët e Studio EON analizojnë precedentin global dhe kërkesat e rrepta të llogaridhënies sipas Ligjit Nr. 124/2024 dhe GDPR.
- Rekomandimi i EON: Auditimi i menjëhershëm i të gjitha kanaleve të transferimit të të dhënave te palët e treta (Third-Party Sharing) dhe rishikimi i thelluar i njoftimeve të privatësisë për të garantuar transparencë të plotë faktike.
Rrethanat dhe Zhvillimi Rregullator
Në një nga vendimet gjyqësore më tronditëse në historinë e industrisë digjitale globale, një gjykatë në shtetin e Nju Meksikos në Shtetet e Bashkuara ka urdhëruar korporatën Meta (kompaninë mëmë të Facebook, Instagram dhe WhatsApp) të paguajë një gjobë rekord prej 25 miliardë dollarësh (rreth 18.6 miliardë paund). Vendimi u mor nga Gjykatësi Francis Mathew pas një procesi gjyqësor dy-javor, i cili vërtetoi se gjiganti teknologjik kishte gënjyer publikun në mënyrë të vazhdueshme dhe të qëllimshme për më shumë se 11 vite radhazi (nga viti 2010 deri në vitin 2021) lidhur me mënyrën se si menaxhonte, kontrollonte dhe ndante të dhënat personale të përdoruesve.
Padia, e ngritur nga Prokurori i Përgjithshëm i Nju Meksikos, Raúl Torrez, kishte zanafillën në rolin e Meta-s në skandalin e mirënjohur të Cambridge Analytica, ku profilet dhe të dhënat e dhjetëra miliona qytetarëve u shfrytëzuan pa pëlqimin e tyre për konsulencë politike dhe targetim elektoral. Juria zbuloi se drejtuesit e lartë të Meta-s kishin bërë deklarata publike të përsëritura se të dhënat e përdoruesve nuk ndaheshin kurrë me palë të treta pa lejen e tyre eksplicite, ndërkohë që në realitet qasja e palëve të jashtme ishte e gjerë dhe e pakontrolluar. Në tërësi, juria konkludoi se Meta kishte shkelur ligjet e mbrojtjes së konsumatorit dhe privatësisë më shumë se 40 milionë herë.
Gjykatësi Mathew theksoi në urdhrin e tij se shkeljet e ligjit dhe shtrembërimet ndaj opinionit publik ishin me dashje (“willful”) dhe shtriheshin në thelbin e modelit të biznesit të Facebook-ut. Për më tepër, komunikimet e brendshme midis drejtuesve më të lartë ekzekutivë të kompanisë u vlerësuan si të projektuara posaçërisht për të manipuluar dhe çorientuar publikun. Edhe pse përllogaritja fillestare e sanksioneve sipas ligjeve shtetërore arrinte në shifrën marramendëse prej 219 miliardë dollarësh, gjykatësi e reduktoi atë në 25 miliardë dollarë—një shumë që përkon afërsisht me fitimin e një tremujori të plotë të kompanisë. Nga ana e saj, Meta njoftoi se do ta ankimojë vendimin, duke e cilësuar atë si pengesë joproporcionale për zhvillimin e biznesit.
Ky sanksion tejkalon çdo masë ndëshkuese të vendosur më parë ndaj Meta-s, përfshirë gjobën prej 5 miliardë dollarësh nga Komisioni Federal i Tregtisë (FTC) në vitin 2019 dhe marrëveshjen prej 18 miliardë dollarësh me shtetin e Kalifornisë. Siç deklaroi Prokurori i Përgjithshëm Raúl Torrez: “Për një kohë shumë të gjatë, korporatat e fuqishme teknologjike kanë vepruar sikur madhësia dhe ndikimi i tyre i vendos mbi ligjin. Ky rezultat e bën të qartë se asnjë korporatë nuk është tepër e madhe për të mos mbajtur përgjegjësi.”
Analiza Ligjore sipas Ligjit Nr. 124/2024 & Praktikës Ndërkombëtare (GDPR)
Vendimi historik ndaj Meta-s përbën një kambanë alarmi themelore për të gjithë kontrolluesit dhe përpunuesit e të dhënave, duke pasqyruar standardet rigoroze që tashmë janë të sanksionuara edhe në legjislacionin shqiptar përmes Ligjit Nr. 124/2024 “Për mbrojtjen e të dhënave personale” dhe Rregullores së Përgjithshme Evropiane (GDPR):
- Nenet 5 & 6 (Parimet e Përpunimit dhe Ligjshmëria): Ndalimi i rreptë i trajtimit apo ndarjes së të dhënave pa bazë të vlefshme ligjore. Çdo transferim te partnerët, furnizuesit e software-ve apo rrjetet reklamuese kërkon autorizim të qartë ose pëlqim të vullnetshëm e të dokumentuar (Neni 7).
- Nenet 12 & 13 (Detyrimi i Transparencës dhe Njoftimit të Saktë): Dokumenti i Politikës së Privatësisë (Privacy Notice) nuk mund të jetë më një tekst formal marketingu. Çdo mospërputhje midis asaj që shkruhet në dokument dhe asaj që ndodh realisht në servera përbën shkelje direkte administrative me dashje.
- Neni 24 (Parimi i Llogaridhënies – Accountability): Organizata kontrolluese mban përgjegjësi ligjore të plotë për të gjithë zinxhirin e përpunimit. Mungesa e kontrollit mbi API-të, konektorët apo aksesin e palëve të treta nuk përbën justifikim ligjor.
- Neni 35 & 36 (Siguria Teknike dhe Organizative): Kërkesa për mekanizma të rreptë të kufizimit të aksesit (Access Control), enkriptim dhe parandalim të rrjedhjeve të të dhënave.
- Nenet 92–94 (Sanksionet Administrative): Në përputhje me standardet e BE-së, Ligji 124/2024 parashikon gjoba administrative deri në 20 milionë euro ose deri në 4% të xhiros së përgjithshme vjetore globale të vitit financiar paraardhës, duke eliminuar konceptin se shkeljet e privatësisë mbartin kosto të parëndësishme.
Matrica e Detyrimeve dhe Rreziqeve për Kontrolluesit
| Kërkesa Ligjore | Baza sipas Ligjit 124/2024 | Niveli i Rrezikut | Veprimi i Rekomanduar nga Studio EON |
|---|---|---|---|
| Ndarja e të Dhënave me Palë të Treta | Nenet 6, 7 & 30 | Kritik (P0) | Hartimi i inventarit të plotë të API-ve dhe ndërprerja e transferimeve të padeklaruara. |
| Saktësia e Njoftimeve të Privatësisë | Nenet 12 & 13 | Kritik (P0) | Përafrimi 100% i Privacy Notice me rrjedhën reale të të dhënave në sisteme. |
| Marrëveshjet e Përpunimit (DPA) | Neni 30 | I Lartë (P1) | Nënshkrimi i DPA-ve me klauzola të qarta auditi me të gjithë nënkontraktorët. |
| Regjistri i Përpunimit (RoPA) | Neni 32 | Mesatar (P2) | Dokumentimi i kategorive të të dhënave, marrësve dhe afateve të ruajtjes. |
Udhëzuesi Praktik i EON: Çfarë Duhet të Ndërmarrë Menjëherë Organizata Juaj?
Për të evituar ekspozimin ndaj sanksioneve masive administrative dhe dëmtimit të pakthyeshëm të besimit publik, EON rekomandon një plan konkret veprimi me tri faza për kompanitë dhe institucionet:
- Faza P0 (Urgjente – Brenda 15 Ditëve): Kryerja e një auditimi teknik (Data Mapping & Flow Audit) për të identifikuar saktësisht se cilat të dhëna dalin jashtë perimetrit të organizatës përmes faqeve të internetit, aplikacioneve celulare, serverave cloud apo API-ve; ndërprerja e çdo transferimi të pambështetur në pëlqim të vlefshëm.
- Faza P1 (Strukturore – Brenda 45 Ditëve): Rishikimi rrënjësor i të gjitha politikave publike të privatësisë dhe kushteve të shërbimit. Eliminimi i çdo pohimi mashtrues apo formulimi të paqartë; caktimi formal i Nëpunësit për Mbrojtjen e të Dhënave (DPO) dhe nënshkrimi i Marrëveshjeve për Përpunimin e të Dhënave (DPA) me të gjithë nënkontraktorët.
- Faza P2 (Konsolidim – Brenda 90 Ditëve): Zbatimi i masave teknike mbrojtëse (enkriptim, pseudonimizim, audit log-e të pandryshueshme), certifikimi sipas standardeve ISO/IEC 27001 dhe kryerja e trajnimeve të detyrueshme të ndërgjegjësimit për stafin ekzekutiv dhe teknik.
Pyetje të Shpeshta (FAQ) mbi Zbatimin e Ligjit
1. A mund të ndëshkohet një kompani nëse pohon se nuk ndan të dhëna, por partnerët e saj teknikë kanë akses?
Po, padyshim. Sipas parimit të llogaridhënies (Accountability) në Ligjin 124/2024 dhe GDPR, kontrolluesi është ligjërisht përgjegjës për çdo akses që u lejon palëve të treta. Nëse një kompani deklaron se të dhënat nuk ndahen, por teknikisht softuerët e jashtëm mbledhin të dhëna, kjo përbën mashtrim administrativ dhe dënohet me gjobat më të larta ligjore.
2. Çfarë rrezikojnë kompanitë në Shqipëri me hyrjen në fuqi të Ligjit Nr. 124/2024?
Komisioneri për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale (IDP) ka kompetencën të vendosë masa administrative që arrijnë deri në 2 miliardë lekë ose deri në 4% të xhiros globale. Për më tepër, subjektet përballen me urdhra për pezullimin ose ndalimin e menjëhershëm të përpunimit të të dhënave, çka mund të paralizojë tërësisht aktivitetin tregtar.
3. Si mund të sigurojë një organizatë përputhshmërinë e plotë midis teknologjisë dhe ligjit?
Zgjidhja e vetme e qëndrueshme është kryerja e auditimeve të përbashkëta ligjore dhe teknike (Privacy by Design & Default), duke garantuar që arkitektura e sistemeve IT reflekton me përpikëri detyrimet e shprehura në dokumentacionin ligjor të kompanisë.
Keni Nevojë për Auditimin e Përputhshmërisë dhe Sigurisë së të Dhënave?
Ekspertët ligjorë dhe auditorët teknikë të EON ju mbështesin në zbatimin e plotë të Ligjit 124/2024, GDPR, auditimin e transferimeve te palët e treta dhe standardet ndërkombëtare ISO 27001.
