Sektori Shëndetësor dhe Laboratorët Diagnostikues: Sanksion 2.8 Milionë Lekë nga Komisioneri për Mungesë DPA-je dhe Masash SMSI sipas Ligjit Nr. 124/2024
PËRMBLEDHJE EKZEKUTIVE E VENDIMIT TË KOMISIONERIT
- Autoriteti Rregullator: Komisioneri për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale (KDIMDP)
- Akti Zyrtar: Vendimi Nr. 08, datë 26.02.2026 (Dosja Nr. 124/2 prot.)
- Sektori i Hetuar: Sektori Shëndetësor / Shërbimet Laboratorike Klinike dhe Diagnostikuese në Shqipëri
- Shkeljet e Konstatuara: Shkelje e Nenit 26 (Mungesa e Marrëveshjes së Përpunimit – DPA me nënkontraktorët e analizave) dhe Nenit 28 (Mungesa e Sistemit të Menaxhimit të Sigurisë së Informacionit – SMSI / ISO 27001) të Ligjit Nr. 124/2024
- Masa Ndëshkuese: Gjobë administrative prej 2,800,000 Lekë (akt administrativ i detyrueshëm, i ankimueshëm në gjykatë sipas Neneve 92–94 të Ligjit 124/2024) dhe urdhër me afat 30–45 ditë për zbatimin e masave të detyrueshme tekniko-organizative.
Përpunimi i të dhënave të veçanta shëndetësore (rezultatet e analizave biokimike, mostrave mjekësore dhe të dhënave gjenetike) paraqet rrezikun më të lartë për të drejtat dhe liritë themelore të qytetarëve. Me Vendimin Nr. 08 të datës 26 Shkurt 2026, Komisioneri për Mbrojtjen e të Dhënave Personale (KDIMDP) ka vendosur një nga sanksionet më të rënda financiare në sektorin privat mjekësor në Shqipëri, duke dënuar me gjobë 2.8 milionë lekë një strukturë laboratorike diagnostikuese.
Ky vendim përfaqëson një standard orientues dhe precedent të padiskutueshëm për të gjitha spitalet, klinikat, laboratorët dhe kompanitë farmaceutike në vend, duke qartësuar se delegimi i analizave apo softuerëve tek të tretët pa një kontratë të rreptë përpunimi (DPA) përbën shkelje direkte që ndëshkohet me penalitete maksimale.
Shkeljet e Konstatuara gjatë Hetimit Administrativ
Në përfundim të hetimit administrativ të kryer nga Drejtoria e Hetimit Sektorial dhe Sigurisë së të Dhënave, Komisioneri evidentoi dy shkelje thelbësore të kuadrit rregullator:
- Mungesa e Kontratës së Delegimit (DPA – Neni 26 i Ligjit Nr. 124/2024):
Subjekti shëndetësor kishte deleguar përpunimin e disa analizave specifike dhe mirëmbajtjen e sistemeve IT tek laboratorë dhe kompani të treta (përpunues), pa nënshkruar një marrëveshje formale ligjore që përcakton detyrimet teknike, ruajtjen e konfidencialitetit mjekësor dhe ndalimin e përdorimit të të dhënave për qëllime të tjera. Kjo bie ndesh drejtpërdrejt me Nenin 26 të Ligjit 124 dhe Nenin 28 të GDPR-it. - Mungesa e Sistemit të Menaxhimit të Sigurisë (SMSI – Neni 28 i Ligjit Nr. 124/2024):
Subjekti nuk dispononte një Sistem të Menaxhimit të Sigurisë së Informacionit (SMSI) të bazuar në standardin ndërkombëtar ISO 27001, si dhe nuk paraqiti prova për trajnimin periodik të punonjësve të stafit mjekësor dhe administrativ që kanë akses të përditshëm në të dhënat e pacientëve.
Analiza Ligjore sipas Ligjit Nr. 124/2024
| Neni i Ligjit Nr. 124/2024 | Parimi Rregullator | Detyrimi Konkret për Strukturat Shëndetësore |
|---|---|---|
| Neni 26 | Marrëdhënia Kontrollues – Përpunues (DPA) | Çdo bashkëpunim me laboratorë të jashtëm, ofrues sistemesh cloud apo softuerë administrimi kërkon detyrimisht një kontratë DPA me klauzola të detajuara sigurie. |
| Neni 28 | Siguria e Përpunimit (SMSI & ISO 27001) | Institucionet që trajtojnë të dhëna shëndetësore në shkallë të gjerë duhet të zbatojnë politika të enkriptimit, pseudonimizimit dhe kontrollit të rreptë të aksesit. |
| Nenet 93–94 | Sanksionet Administrative dhe Gjobat | Shkeljet e rënda të sigurisë ndëshkohen me gjoba progresive të llogaritura mbi xhiron vjetore, të cilat përbëjnë titull ekzekutiv të menjëhershëm. |
Urdhri Korrigjues dhe Masat e Detyrueshme
Përveç gjobës administrative prej 2.8 milionë lekësh, Komisioneri i ka lënë subjektit detyrime të prera me afate të rrepta:
- Afat 30-ditor: Rregullimi dhe nënshkrimi i të gjitha aneks-kontratave DPA me laboratorët partnerë dhe kompanitë mbështetëse IT;
- Afat 45-ditor: Krijimi, mirëmbajtja dhe dokumentimi i plotë i Sistemit të Menaxhimit të Sigurisë së Informacionit (SMSI) dhe trajnimi i stafit;
- Afat 60-ditor: Raportimi zyrtar me shkrim pranë Zyrës së Komisionerit mbi përmbushjen e të gjitha masave korrigjuese.
PROTOKOLLI I SIGURISË I STUDIO EON PËR KLINIKAT DHE LABORATORËT MJEKËSORË
Për të evituar gjobat e rënda dhe hetimet e Komisionerit, të gjitha strukturat shëndetësore në Shqipëri duhet të auditojnë menjëherë këto katër shtylla:
- Auditimi i Zinxhirit të Nënkontraktorëve: Rishikimi i të gjitha kontratave me laboratorët e jashtëm dhe hartimi i marrëveshjeve DPA sipas Nenit 26.
- Hartimi i Paketës Teknike SMSI: Vendosja e politikave të sigurisë së informacionit, fjalëkalimeve të forta, kopjet rezervë (backups) të enkriptuara dhe regjistrit të log-eve të aksesit.
- Trajnimi i Dokumentuar i Stafit: Certifikimi i brendshëm i mjekëve, laborantëve dhe stafit administrativ mbi konfidencialitetin mjekësor.
- Caktimi i DPO-së (Neni 34 i Ligjit 124): Strukturat shëndetësore me volum të lartë pacientësh kanë detyrimin e emërimit të Zyrtarit për Mbrojtjen e të Dhënave.
Konsulentët e Studio EON mbështesin spitalet, klinikat private dhe laboratorët diagnostikues në Shqipëri me zgjidhje të plota për auditimin e përputhshmërisë ligjore dhe ngritjen e sistemeve të sigurisë sipas kërkesave të Ligjit Nr. 124/2024.
