Dërgimi i Email-eve me Qindra Adresa në CC: Rreziku i Data Breach-it dhe Sanksionet e Rënda sipas Ligjit Nr. 124/2024 dhe GDPR
PËRMBLEDHJE EKZEKUTIVE PËR DREJTUESIT DHE ADMINISTRATËN NË SHQIPËRI
- Praktika e Gabuar: Dërgimi i njoftimeve, ftesave, ofertave apo shkresave administrative duke futur dhjetëra ose qindra adresa email-i të klientëve, bashkëpunëtorëve apo qytetarëve në fushën e dukshme CC (Kopje) në vend të fushës së fshehtë CCN / BCC (Kopje e Fshehtë).
- Kualifikimi Ligjor: Përbën komunikim të paligjshëm të të dhënave personale te palët e treta dhe cenim të sigurisë së të dhënave (Data Breach) sipas Ligjit Nr. 124/2024 dhe GDPR-it.
- Precedenti i Fundit Evropian: Garante Privacy ka ndëshkuar me sanksion administrativ Federatën Kombëtare të Urdhrit të Biologëve (Vendimi Nr. 763, Docweb 10309222) për dërgimin e komunikimeve me adresa në CC, duke refuzuar justifikimet e “gabimit njerëzor” apo “përkatësisë në të njëjtin komunitet profesional”.
- Ekspozimi ndaj Gjobave: Ligji Nr. 124/2024 parashikon gjoba deri në 40.000.000 lekë ose deri në 2% deri 4% të xhiros vjetore globale për mungesë masash teknike dhe organizative të sigurisë.
Në tregun dhe administratën shqiptare, një nga veset më të përhapura dhe më të rrezikshme të komunikimit të përditshëm është dërgimi i mesazheve elektronike masive duke vendosur dhjetëra apo qindra adresa email-i në mënyrë të dukshme në fushën “To” (Për) ose “CC” (Kopje). Për vite me radhë, kjo sjellje është trajtuar me lehtësi, e justifikuar si “mungesë kohe”, “gabim shpejtësie” apo thjesht shpërfillje e teknologjisë.
Me hyrjen në fuqi të Ligjit Nr. 124/2024 “Për mbrojtjen e të dhënave personale”, i cili harmonizon plotësisht legjislacionin shqiptar me standardet më strikte të Rregullores së Përgjithshme Evropiane për Mbrojtjen e të Dhënave (GDPR), kjo praktikë kthehet në një bombë me sahat juridike dhe financiare për çdo kompani private, institucion shtetëror, shoqatë, studio ligjore apo klinikë në Shqipëri.
Rasti Paralajmërues: Pse Autoritetet Ndëshkojnë Shkeljet e Fushës “CC”
Në një vendim të rëndësishëm (Vendimi Nr. 763 i datës 7 tetor 2026, Docweb 10309222), Autoriteti Mbikëqyrës sanksionoi një federatë kombëtare profesionale pasi stafi i saj kishte dërguar dy njoftime zyrtare me email ku adresat personale të profesionistëve ishin lënë të dukshme për të gjithë marrësit e tjerë.
Mbrojtja e subjektit pretendonte se:
- Bëhej fjalë për një gabim njerëzor të izoluar dhe të paqëllimshëm të punonjësit;
- Platforma e postës nuk e kishte menjëherë të dukshëm butonin CCN;
- Marrësit ishin kolegë të së njëjtës fushë dhe nuk kishte pasur asnjë dëm të drejtpërdrejtë.
Autoriteti mbikëqyrës i rrëzoi të gjitha këto pretendime. Parimi thelbësor i vendosur është i qartë: çdo adresë email-i është një e dhënë personale. Zbulimi i saj ndaj personave të tretë pa një bazë të ligjshme është i ndaluar. Për më tepër, nëse sistemi ose organizimi i brendshëm i kompanisë lejon që një punonjës me një klikim të vetëm të shpërndajë të dhënat e qindra personave, përgjegjësia direkte bie mbi vetë drejtuesit e kompanisë për dështim në sigurimin e masave mbrojtëse.
Pse Praktika në Shqipëri Përbën Rrezik Kritik Sanksionues
Në realitetin e përditshëm të bizneseve në Tiranë dhe qytetet e tjera, shohim shpesh:
- Agjenci Imobiliare dhe Tregtare: Dërgojnë lista me prona, oferta apo katalogje duke vendosur 500 klientë potencialë në CC. Secili prej marrësve zbulon menjëherë bazën e të dhënave të konkurrentëve ose klientëve të tjerë.
- Kompani Eventesh, Trajnimesh dhe OJF: Dërgojnë konfirmime pjesëmarrjeje me të gjithë pjesëmarrësit në të njëjtin email, duke ekspozuar emra drejtuesish, adresa private dhe lidhje pune.
- Institucione Shëndetësore dhe Laboratorë: Gabimi më i rëndë i mundshëm — njoftime mbi orare analizash apo shërbimesh mjekësore të dërguara në grup me email-e të hapura, çka përbën zbulim të të dhënave sensitive shëndetësore (Neni 9 i Ligjit Nr. 124/2024).
Ky zakon jo vetëm që shkatërron besueshmërinë e biznesit dhe krijon rrezik të lartë të sulmeve phishing dhe spam për të gjithë të përfshirët, por përbën një shkelje të shumëfishtë të Ligjit Nr. 124/2024.
Analiza e Neneve të Shkelura sipas Ligjit Nr. 124/2024
| Neni i Ligjit 124/2024 | Dispozita Ligjore | Pasojat për Dërgimin e Email-eve në CC |
|---|---|---|
| Neni 5(1)(f) | Parimi i Integritetit dhe Konfidencialitetit | Të dhënat duhet të përpunohen në mënyrë që të garantohet siguria e duhur, duke përfshirë mbrojtjen kundër përpunimit të paautorizuar ose të paligjshëm. |
| Neni 23 | Privacy by Design & by Default | Kontrolluesi është i detyruar të zbatojë masa teknike që në fazën e projektimit. Një kompani nuk mund të përdorë kanale që lejojnë gabime masive me një klikim. |
| Neni 28 | Siguria e Përpunimit | Detyrimi për të zbatuar politika të brendshme, udhëzime të shkruara dhe konfigurime teknike që pengojnë zbulimin aksidental të të dhënave. |
| Neni 29 | Njoftimi i Cenimit të të Dhënave (Data Breach) | Çdo ekspozim i tillë është një cenim i konfidencialitetit. Kompania duhet të vlerësojë rrezikun, ta regjistrojë në Regjistrin e Cenimeve dhe brenda 72 orëve të njoftojë Komisionerin (IDP) nëse rreziku është i lartë. |
| Nenet 92–95 | Sanksionet Administrative | Gjoba nga Komisioneri deri në 40 milionë lekë ose deri në 4% të xhiros vjetore për subjektet që neglizhojnë masat e sigurisë. |
PROTOKOLLI I SIGURISË I STUDIO EON PËR ELIMINIMIN E RREZIKUT TË EMAIL-EVE MASIVE
Për të shmangur gjobat e Komisionerit dhe paditë për dëmtim të imazhit, çdo kompani dhe organizatë në Shqipëri duhet të zbatojë menjëherë këtë protokoll të përgatitur nga Studio EON:
- Ndalimi Kategorik i Programeve Tradicionale për Njoftime: Ndaloni kategorikisht përdorimin e Outlook, Thunderbird apo Webmail për dërgimin e cirkulareve, ftesave apo ofertave drejtuar më shumë se 5 marrësve të jashtëm në një mesazh të vetëm.
- Zbatimi i Sistemeve Profesionale të Dërgimit (Newsletter / Mail Merge): Përdorni platforma të certifikuara (ose sisteme të automatizuara brenda CRM-së) që gjenerojnë një email krejtësisht individual për çdo person, ku askush nuk e sheh adresën e tjetrit.
- Konfigurimi Teknik i Kufizimeve në Server (Exchange / Google Workspace): Kërkojini administratorit tuaj të IT-së të vendosë një rregull bllokimi (Transport Rule / DLP) që nuk lejon nisjen e email-eve me më shumë se 10 marrës në fushat “To” ose “CC” pa miratimin e administratorit.
- Trajnimi i Sekretarisë dhe Stafit Administrativ: Gabimi njerëzor është shkaku numër një i rrjedhjes së të dhënave. Siguroni instruksione të qarta pune dhe trajnim të stafit mbi rëndësinë e fushës CCN dhe pasojat ligjore të saj.
- Procedura e Brendshme për Reagim të Shpejtë (Incident Management): Nëse gabimi ndodh, mos fshihni kokën: aktivizoni menjëherë protokollin e verifikimit me DPO-në ose konsulentin e specializuar të Studio EON, vlerësoni dëmin dhe dokumentoni masat e marra në Regjistrin e Incidenteve sipas Nenit 29 të Ligjit Nr. 124/2024.
Studio EON ofron auditim të plotë të sigurisë së kanaleve të komunikimit, hartim të rregulloreve të brendshme për IT-në dhe asistencë të specializuar ligjore e teknike për përputhshmërinë me Ligjin Nr. 124/2024 në Shqipëri.
