Arsimi i Lartë dhe Universitetet: Komisioneri Vendos Nën Hetim Sektorial Përpunimin e të Dhënave të Studentëve dhe Sistemet e Sigurisë sipas Ligjit Nr. 124/2024
PËRMBLEDHJE EKZEKUTIVE E HETIMIT SEKTORIAL
- Autoriteti Mbikëqyrës: Komisioneri për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale (KDIMDP)
- Aktet Rregullatore: Rekomandimet Nr. 5, 6, 7, 8, 9/2025 dhe Rekomandimet Nr. 41, 42, 43, 44/2025
- Sektori i Hetuar: Institucionet e Arsimit të Lartë (Universitetet Publike dhe Private në Shqipëri)
- Objekti i Inspektimit: Përpunimi i të dhënave personale të studentëve, pedagogëve dhe stafit administrativ; platformat dixhitale të mësimdhënies; marrëveshjet me palët e treta (DPA) dhe zbatimi i Sistemit të Menaxhimit të Sigurisë së Informacionit (SMSI / Udhëzimi Nr. 47)
- Afatet e Zbatimit: Përmbushje e shkallëzuar brenda 15, 30 dhe 45 ditëve me paralajmërim të hapur për hapjen e procedurave sanksionuese me gjobë sipas Neneve 93–94 në rast mosveprimi.
Institucionet e arsimit të lartë në Shqipëri administrojnë çdo ditë një vëllim të jashtëzakonshëm të dhënash personale: të dhëna identifikimi, regjistra notash, adresa banimi, të dhëna bankare për bursat dhe pagesat, vlerësime disiplinore dhe shpesh të dhëna mjekësore për përjashtimet nga tarifat. Në kuadër të zbatimit të Ligjit Nr. 124/2024, Komisioneri për Mbrojtjen e të Dhënave Personale (KDIMDP) ndërmori një hetim sektorial horizontal të gjerë, duke analizuar funksionimin e 9 universiteteve kryesore publike dhe private në vend.
Përmes Rekomandimeve Nr. 5–9 dhe Nr. 41–44, Komisioneri konstatoi se sektori universitar vuan nga mangësi serioze rregullatore dhe teknologjike, duke përdorur rregullore formale të vjetruara dhe duke neglizhuar sigurinë kibernetike të portaleve të studentëve.
Problematikat e Evidentuara nga Autoriteti
Nga shqyrtimi i dokumentacionit dhe procesverbaleve të inspektimit rezultuan gjetje shqetësuese:
- Rregullore Formale të Vjetruara: Universitetet paraqitën rregullore të miratuara para shumë vitesh (disa që në vitin 2018), të cilat nuk përmbanin masat specifike teknike dhe organizative, nivelet e autorizimit dhe procedurat e reagimit ndaj rrjedhjeve të të dhënave (data breaches) të parashikuara në Ligjin e ri 124/2024.
- Mungesë e Kontratave DPA me Ofruesit e Softuerëve (Neni 20/26): Portale të dedikuara studentore, sisteme të sekretarive mësimore dhe platforma të mësimit online hostoheshin nga kompani të jashtme pa nënshkrimin e një marrëveshjeje formale përpunimi (DPA) që të përcaktojë kufijtë e aksesit dhe fshirjen e të dhënave.
- Mungesë e Afateve të Ruajtjes (Retention Periods): Dosjet e studentëve të diplomuar dhe të larguar ruheshin pa kritere kohore të diferencuara, duke shkelur parimin e kufizimit të ruajtjes sipas Nenit 5 të Ligjit.
- Mungesë e Masave SMSI dhe Trajnimit të Personelit: Pjesa dërrmuese e institucioneve universitare nuk kishin ngritur Sistemin e Menaxhimit të Sigurisë së Informacionit (SMSI) dhe nuk kishin kryer trajnime periodike të stafit pedagogjik dhe administrativ, në kundërshtim me Udhëzimin Nr. 47 të Komisionerit.
- Deklaratat e Konfidencialitetit: Pedagogët e jashtëm, stafi ndihmës dhe operatorët e IT-së nuk kishin nënshkruar marrëveshje konfidencialiteti me efekt detyrues pas ndërprerjes së marrëdhënies me universitetin.
Analizë e Sjelljes së Komisionerit
Hetimi sektorial mbi arsimin e lartë nxjerr në pah metodologjinë institucionale dhe qëndrimet doktrinore të Komisionerit:
1. Hetimi Sektorial Horizontal si Mjet Presioni Strukturor
Ndryshe nga hetimet individuale me ankesë qytetari, Komisioneri zbatoi një qasje strukturore: të gjitha universitetet kryesore u inspektuan paralelisht. Kjo metodë parandalon arsyetimin e padrejtësisë apo konkurrencës, duke imponuar një nivel të unifikuar pajtueshmërie në të gjithë ekosistemin akademik shqiptar.
2. Rrëzimi i “Rregulloreve në Letër”
Universiteti i paraqiti grupit të inspektimit vendimin e senatit akademik të vitit 2018 për miratimin e rregullores së privatësisë. Komisioneri nuk u mjaftua me ekzistencën e dokumentit, por kreu analizë krahasuese përmbajtësore, duke konkluduar se teksti ishte i përgjithshëm dhe nuk reflektonte proceset reale. Komisioneri thekson se “rregullorja duhet të parashikojë masa konkrete tekniko-organizative për çdo kategori të dhënash dhe për çdo proces përpunimi”.
3. Matrica e Afateve të Prera (15, 30 dhe 45 Ditë)
Komisioneri nuk lë rekomandime me afate abstrakte, por aplikon një skemë të shkallëzuar me data fikse:
- 15 ditë: Aplikimi i deklaratave të konfidencialitetit me punëmarrësit;
- 30 ditë: Rishikimi i rregullores specifike, përcaktimi i afateve të ruajtjes dhe nënshkrimi i marrëveshjeve DPA me kompanitë IT;
- 45 ditë: Zbatimi i Udhëzimit Nr. 47 për ngritjen e SMSI-së dhe trajnimin e dokumentuar të personelit;
- Vazhdimisht: Informimi transparent i studentëve sipas Nenit 18 të Ligjit.
4. Paralajmërimi i Sanksioneve të Kapitullit të Gjobave
Në pjesën përmbyllëse të çdo akti, Komisioneri nënvizon shprehimisht se “në rast mospërmbushjeje të detyrimeve brenda afateve, Zyra e Komisionerit fillon procedurën e sanksionimit administrativ me gjobë”. Kjo tregon se Rekomandimi përbën hallkën e fundit paralajmëruese para aplikimit të gjobave progresive sipas Neneve 93 dhe 94 të Ligjit 124/2024.
Detyrimet Kyçe të Pajtueshmërisë për Universitetet
| Shtylla e Pajtueshmërisë | Neni i Ligjit Nr. 124/2024 | Kërkesa e Komisionerit |
|---|---|---|
| Marrëveshjet DPA | Nenet 20 & 26 | Lidhja e kontratave strikte me kompanitë e portaleve universitare, bibliotekave dixhitale dhe hostuesve cloud. |
| Sistemi SMSI | Neni 28 & Udhëzimi Nr. 47 | Ngritja e sistemit të menaxhimit të sigurisë së informacionit, politikat e fjalëkalimeve dhe kontrolli i aksesit në databazat e notave. |
| Afatet e Ruajtjes | Neni 5 (Pika 1, Germa d) | Përcaktimi i tabelës së periudhave të ruajtjes për të dhënat akademike dhe fshirja apo arkivimi i të dhënave pas diplomimit. |
| Konfidencialiteti | Neni 28 & Vendimi Nr. 6 | Nënshkrimi i deklaratave individuale të ruajtjes së sekretit nga çdo pedagog, anëtar stafi administrativ dhe operator IT. |
PROGRAMI I ASISTENCËS SË STUDIO EON PËR INSTITUCIONET E ARSIMIT
Studio EON mbështet universitetet, kolegjet dhe shkollat profesionale me zgjidhje të plota për plotësimin e kërkesave të Komisionerit brenda afateve ligjore:
- Rishikim të Rregullores së Brendshme të Sigurisë: Përshtatje e tekstit me proceset bashkëkohore universitare dhe me Ligjin Nr. 124/2024.
- Hartim të Marrëveshjeve DPA me Partnerët Teknologjikë: Blindimi ligjor i të gjitha kontratave të softuerëve dhe sekretarive elektronike.
- Projektim dhe Implementim të SMSI-së (Udhëzimi 47): Ngritja e protokolleve të sigurisë dhe trajnimi i certifikuar i stafit akademik.
- Funksioni i Zyrtarit të Mbrojtjes së të Dhënave (DPO): Ofrimi i shërbimit të DPO-së së jashtme sipas Nenit 34 të Ligjit 124.
Përmes një metodologjie të provuar, Studio EON ndihmon menaxhmentin e arsimit të lartë të eliminojë rrezikun e sanksioneve administrative dhe të ngrejë një mjedis dixhital të sigurt për studentët.
