Gjobat deri në 20 Milionë Euro të Ligjit 124/2024: Si të Mbroni Kompaninë Përmes Programit të Pajtueshmërisë EON
📌 Pikat Kryesore Ekzekutive
- Fusha Rregullatore: Ligji 124/2024 & Komisioneri (IDP)
- Data e Referimit: 2025-09-20
- Përmbledhja: Kuadri i ri ligjor për mbrojtjen e të dhënave personale parasheh sanksione financiare deri në 2 miliardë lekë ose deri në 4% të xhiros globale vjetore. Kompanitë duhet të auditojnë menjëherë sistemet dhe praktikat e tyre për të evituar ndëshkimet e rënda administrative.
- Rekomandimi i EON: Zbatimi i menjëhershëm i masave parandaluese teknike dhe organizative për të shmangur sanksionet administrative.
Rrethanat dhe Zhvillimi Rregullator
Prej fillimit të këtij viti, Shqipëria ka një kuadër të ri ligjor për mbrojtjen e të dhënave personale, i cili në përafrim të plotë me direktivën e BE-së, parashikon një sërë risish dhe detyrimesh për subjektet kontrolluese dhe përpunuese. Po kështu, parashikon masa administrative deri në 20 milionë euro. Por, teksa po punohet me grupe interesi për t’i mirinformuar, paralelisht kanë filluar gjobat e para. Katër vendime në korrik-gusht kanë ndëshkuar me 47 mijë euro katër subjekte ndër të tjera: dy klinika dentare, një parti politike dhe një institucion shtetëror. Subjekte të këtij ligji si përpunues apo kontrollues pohojnë se pavarësisht aspekteve pozitive që sjell ligji, ai mbetet ende i ri dhe duhet të ketë një fazë paralajmërimi përpara ndëshkimit duke i dhënë mundësi për përshtatje.
Katër vendime të periudhës korrik-gusht të këtij viti, të marra nga Komisioneri për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale, parashikuan gjoba në vlerën 4.7 milionë lekë si efekt i shkeljeve të konstatuara në disa subjekte.
Kuadri ligjor që hyri në fuqi në janar të këtij viti për mbrojtjen e të dhënave personale, duket se ka kaluar në fazën e tij të re.
Pas paralajmërimit dhe thirrjes për ndërgjegjësim të subjekteve për të përmirësuar aspektet teknike dhe detyrimet e reja që vendoste ligji në lidhje me mbledhjen dhe përpunimin e të dhënave personale, kemi kaluar te ndëshkimi.
Analiza Ligjore sipas Ligjit Nr. 124/2024 & Praktikës së Komisionerit (IDP)
Ligji i ri nr. 124/2024 “Për mbrojtjen e të dhënave personale” sjell një përafrim të plotë të Shqipërisë me Rregulloren e Përgjithshme të BE-së (GDPR). Në fokus të inspektimeve dhe vendimeve të fundit administrative të Komisionerit janë identifikuar shkelje thelbësore që lidhen drejtpërdrejt me:
- Nenin 5 & 6 (Parimet e Përpunimit dhe Ligjshmëria): Ndalimi i përpunimit të të dhënave pa bazë të qartë ligjore ose pa pëlqim të vlefshëm e të dokumentuar (Neni 7).
- Nenin 12 & 13 (Transparenca dhe Informimi): Detyrimi për njoftime të qarta mbi privatësinë para fillimit të mbledhjes së të dhënave.
- Nenin 21 (E Drejta e Kundërshtimit): E drejta e qytetarëve për të refuzuar përpunimin për qëllime marketingu, profilizimi apo monitorimi.
- Nenin 35 & 36 (Masat Teknike dhe Organizative të Sigurisë): Mungesa e enkriptimit, fjalëkalimeve të sigurta dhe aksesit të kontrolluar.
- Nenin 41 & 42 (Nëpunësi për Mbrojtjen e të Dhënave – DPO): Detyrimi për caktimin e një DPO-je me njohuri profesionale të vërtetuara për kontrolluesit me volum të lartë të dhënash.
- Nenin 95 (Sanksionet Administrative): Penalitetet financiare mund të arrijnë deri në 2 miliardë lekë ose deri në 4% të xhiros vjetore globale të vitit financiar paraardhës.
Matrica e Detyrimeve dhe Rreziqeve për Kontrolluesit
| Kërkesa Ligjore | Baza sipas Ligjit 124/2024 | Niveli i Rrezikut | Veprimi i Rekomanduar nga Studio EON |
|---|---|---|---|
| Pëlqimi i Përdoruesit | Nenet 6 & 7 | Kritik (P0) | Formularë pëlqimi me ‘opt-in’ aktiv dhe ruajtje e provës. |
| Sistemet e Kamerave (CCTV) | Udhëzimi i IDP & Neni 35 | I Lartë (P1) | Njoftim vizual në hyrje, ndalim i monitorimit të zonave të pushimit të stafit. |
| Caktimi i DPO-së | Neni 41 | I Lartë (P1) | Outsourcing ose trajnim i brendshëm i certifikuar. |
| Regjistri i Përpunimit (RoPA) | Neni 30 | Mesatar (P2) | Hartimi i plotë i inventarit të bazave të të dhënave. |
Udhëzuesi Praktik i EON: Çfarë Duhet të Ndërmarrë Menjëherë Organizata Juaj?
Për t’u përshtatur me kërkesat e reja dhe për të minimizuar rrezikun e masave administrative apo dëmtimit të reputacionit, EON rekomandon një plan veprimi të strukturuar në tri faza:
- Faza P0 (Urgjente – Brenda 15 Ditëve): Kryerja e një GAP Analysis të menjëhershëm për të identifikuar zonat e ekspozuara; pezullimi i formave të paligjshme të mbledhjes së të dhënave (p.sh. video-survejimi i paautorizuar ose mungesa e njoftimeve).
- Faza P1 (Strukturore – Brenda 45 Ditëve): Hartimi i Politikave të Përditësuara të Privatësisë, caktimi formal i Nëpunësit për Mbrojtjen e të Dhënave (DPO), dhe nënshkrimi i Marrëveshjeve për Përpunimin e të Dhënave (DPA) me të gjithë nënkontraktorët.
- Faza P2 (Konsolidim – Brenda 90 Ditëve): Testimi teknik i sigurisë së sistemeve, certifikimi me standardet ndërkombëtare (si ISO/IEC 27001), dhe trajnimi i detyrueshëm i të gjithë stafit të përfshirë në menaxhimin e të dhënave.
Pyetje të Shpeshta (FAQ) mbi Zbatimin e Ligjit
1. A mjafton një politikë privatësie në uebsajt për të shmangur gjobat?
Jo. Komisioneri verifikon zbatimin faktik operacional (masat teknike, ruajtjen e sigurt, marrëveshjet DPA me përpunuesit e jashtëm). Politika në faqe është vetëm 10% e përputhshmërisë.
2. Çfarë ndodh nëse një biznes nuk cakton DPO kur e ka detyrim?
Mungesa e DPO-së përbën shkelje direkte administrative që sipas Ligjit 124 ndëshkohet me gjoba të shkallëzuara deri në ndalimin e përpunimit të të dhënave.
Keni Nevojë për Auditimin e Përputhshmërisë së Kompanisë Suaj?
Ekspertët ligjorë dhe teknikë të EON ju mbështesin në zbatimin e plotë të Ligjit 124/2024, Ligjit 25/2024 (NIS2), kërkesave të Komisionerit dhe standardeve ISO 27001.
