Sektori Bankar dhe Financiar: Detyrimet për Marrëveshjet DPA me Përpunuesit dhe Standardet SMSI sipas Hetimit të Komisionerit në kuadër të Ligjit Nr. 124/2024
PËRMBLEDHJE EKZEKUTIVE E HETIMIT SEKTORIAL
- Autoriteti Mbikëqyrës: Komisioneri për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale (KDIMDP)
- Aktet Rregullatore: Rekomandimet Nr. 1, 2, 33, 34/2025
- Sektori i Hetuar: Bankat Tregtare të Nivelit të Dytë dhe Institucionet Financiare Jo-Banka në Shqipëri
- Çështjet Kryesore: Përpunimi i të dhënave të kredimarrësve dhe debitorëve; marrëdhëniet me agjencitë e mbledhjes së detyrimeve (DPA); sistemet e kamerave CCTV në degë dhe zbatimi i certifikimit SMSI sipas Udhëzimit Nr. 48 të Komisionerit
- Masat e Vendosura: Detyrime të prera korrigjuese me afate të përcaktuara nga Komisioneri (15 deri në 60 ditë) për rishikimin e kontratave të përpunimit dhe certifikimin e sistemeve të sigurisë.
Sektori bankar dhe financiar përfaqëson një nga fushat më të rregulluara dhe më të ndjeshme për sa i përket privatësisë në Shqipëri. Bankat tregtare administrojnë çdo ditë historikun financiar, të ardhurat, transaksionet, të dhënat biometrike dhe llogaritë e qindra mijëra qytetarëve. Përmes një serie hetimesh administrative të nisura në fillim të vitit 2025 (të reflektuara në Rekomandimet Nr. 1, 2, 33 dhe 34), Komisioneri për Mbrojtjen e të Dhënave Personale (KDIMDP) ka analizuar hollësisht përputhshmërinë e institucioneve bankare me kërkesat e Ligjit Nr. 124/2024.
Hetimi ka vënë në qendër të vëmendjes dy pika tejet kritike: zinxhirin e nënkontraktimit (agjencitë e mbledhjes së borxhit, qendrat e thirrjeve dhe shërbimet cloud) dhe zbatimin e Sistemit të Menaxhimit të Sigurisë së Informacionit (SMSI) sipas standardeve ndërkombëtare.
Gjetjet dhe Pikat Kritike të Hetimit të Komisionerit
Në përfundim të procedurave hetimore pranë strukturave bankare, Komisioneri evidentoi nevojën e ndërhyrjeve të menjëhershme në këto aspekte:
- Rishikimi i Marrëveshjeve me Përpunuesit e Jashtëm (Neni 20/26): Ndarja e të dhënave të klientëve dhe debitorëve me shoqëri përmbarimore, agjenci të rikuperimit të kredive me probleme dhe ofrues të jashtëm IT kërkon marrëveshje formale DPA me klauzola specifike sigurie, sipas Udhëzimit Nr. 19 të Komisionerit.
- Certifikimi SMSI sipas Udhëzimit Nr. 48: Për shkak të rrezikut të lartë financiar dhe shkallës së gjerë të përpunimit, Komisioneri urdhëroi bankat të marrin masa konkrete për vlerësimin dhe certifikimin formal të sistemeve të tyre SMSI sipas standardit ISO 27001 / ISO 27701.
- Rivlerësimi i Pozicionimit të Kamerave CCTV (Nenet 5 dhe 6): Në disa degë bankare u konstatua se kamerat monitoronin zona që tejkalonin nevojën reale të sigurisë (sportele me fushëpamje të pafavorshme, hyrje të zyrave të stafit apo trotuare publike), duke kërkuar rivlerësim të plotë brenda 15 ditëve.
- Trajnimi i Vazhdueshëm i Punonjësve (Udhëzimi Nr. 47): Detyrimi i bankave për të dokumentuar trajnimet periodike të oficerëve të kredisë, stafit të sportelit dhe administratorëve të sistemeve mbi rregullat e reja të privatësisë.
- Afatet e Ruajtjes së Historikut të Kredive: Përcaktimi i protokolleve strikte për fshirjen e të dhënave personale pas shlyerjes së plotë të detyrimeve dhe përfundimit të afateve ligjore të arkivimit.
Analizë e Sjelljes së Komisionerit
Hetimi mbi sektorin bankar tregon qartë filozofinë rregullatore të Komisionerit në sektorët me kompleksitet të lartë:
1. Kërkesa e Standardeve të Certifikuara Ndërkombëtare (ISO 27001)
Ndryshe nga bizneset e vogla ku kërkohen thjesht rregullore të brendshme, për sektorin bankar Komisioneri aktivizoi Udhëzimin Nr. 48, i cili parashikon certifikimin formal të sistemeve të menaxhimit të sigurisë së informacionit. Ky qëndrim përcakton se vetëdeklarimi i sigurisë nga një institucion financiar nuk është i mjaftueshëm; kërkohet auditim dhe certifikim i pavarur.
2. Mbikëqyrja e Rreptë e Agjencive të Mbledhjes së Borxhit
Komisioneri ka theksuar se banka si Kontrolluese mban përgjegjësi të drejtpërdrejtë për çdo tejkalim apo abuzim të kryer nga kompanitë e mbledhjes së borxhit ndaj debitorëve. Nëse agjencia e jashtme kontakton familjarët e debitorit pa bazë ligjore apo ruan të dhëna të paautorizuara, shkelja i atribuohet institucionit bankar për mungesë të një kontrate DPA dhe mungesë të mbikëqyrjes së përpunuesit.
3. Balanca mes Sigurisë Fizike dhe Privatësisë (CCTV në Degë)
Edhe pse siguria e vlerave monetare kërkon kamera, Komisioneri refuzoi mbikëqyrjen e pakufizuar në degë. Autoriteti urdhëroi një rivlerësim të domosdoshmërisë dhe proporcionalitetit brenda 15 ditëve, duke kërkuar që këndet të kufizohen rreptësisht te sporteli dhe arka, pa filmuar ekranet personale të klientëve apo hyrjet e ambienteve të papërshtatshme.
4. Qasja Dialoguese me Kufij Kohorë të Rreptë
Duke njohur rolin kyç të bankave në stabilitetin ekonomik, Komisioneri përdori institutin e Rekomandimit si një platformë për përshtatje institucionale, por vendosi afate të panegociueshme: 15 ditë për kamerat dhe parimet e mbledhjes, 30 ditë për kontratat DPA dhe rregulloret, dhe 45 ditë për trajnimin SMSI. Çdo tejkalim afati pasohet nga hapja e procedimit administrativ me gjobë.
Kuadri Rregullator sipas Ligjit Nr. 124/2024
| Fusha e Hetimit | Baza Ligjore | Kërkesa e Detyrueshme e Komisionerit |
|---|---|---|
| Kontratat DPA | Nenet 20 & 26, Udhëzimi 19 | Rishikimi i të gjitha marrëveshjeve me agjencitë e mbledhjes së kredive dhe kompanitë IT me përcaktim të saktë të përgjegjësive ligjore. |
| Certifikimi SMSI | Neni 28, Udhëzimi 48 | Marrja e masave për certifikimin formal të sistemit të menaxhimit të sigurisë së informacionit dhe mbrojtjes së të dhënave (ISO 27001/27701). |
| Kamerat në Degë | Nenet 5 & 6 | Rivlerësimi brenda 15 ditëve i pozicionimit të kamerave dhe eliminimi i këndeve që cenojnë privatësinë e klientëve ose punonjësve. |
| Trajnimi i Stafit | Udhëzimi Nr. 47 | Kryerja e trajnimeve periodike dhe administrimi i dëshmive të pjesëmarrjes për të gjithë punonjësit me akses në të dhënat bankare. |
PAKETA E PAJTUESHMËRISË NGA STUDIO EON PËR BANKAT DHE INSTITUCIONET FINANCIARE
Studio EON asiston bankat dhe institucionet e parasë elektronike me ekspertizë të lartë rregullatore:
- Auditimi dhe Hartimi i Marrëveshjeve DPA: Standardizim i kontratave me nënkontraktorët e borxheve, call centers dhe shërbimet cloud.
- Përgatitja për Certifikimin SMSI (ISO 27001/27701): Analizë e boshllëqeve (Gap Analysis) dhe asistencë deri në certifikimin përfundimtar sipas Udhëzimit 48.
- Auditim i Sistemeve CCTV dhe Vlerësim Ndikimi (DPIA): Verifikim i proporcionalitetit në degë dhe hartim i raporteve teknike.
- Trajnimi i Certifikuar i Punonjësve: Programe trajnimi në përputhje me kërkesat e Udhëzimit Nr. 47 të Komisionerit.
Konsulentët e Studio EON garantojnë për institucionet financiare në Shqipëri një nivel të lartë sigurie rregullatore, duke parandaluar dëmet reputacionale dhe penalitetet nga autoritetet mbikëqyrëse.
