Zbatimi i Ligjit të të Dhënave në Shqipëri: Rreth 1 Milion Euro Sanksione dhe Domosdoshmëria e Auditimit të Brendshëm
📌 Pikat Kryesore Ekzekutive
- Fusha Rregullatore: Ligji 124/2024 & Komisioneri (IDP)
- Data e Referimit: 2026-06-15
- Përmbledhja: Komisioneri ka vendosur sanksione administrative me vlerë totale rreth 1 milion euro ndaj tre kompanive private, duke shënuar fillimin e zbatimit rigoroz të masave ndëshkuese sipas kornizës së re të Ligjit Nr. 124/2024 për mbrojtjen e të dhënave personale.
- Rekomandimi i EON: Zbatimi i menjëhershëm i masave parandaluese teknike dhe organizative për të shmangur sanksionet administrative.
Rrethanat dhe Zhvillimi Rregullator
Pas një periudhe intensive informimi, trajnimesh dhe ndërgjegjësimi mbi detyrimet që rrjedhin nga ligji nr. 124/2024 “Për mbrojtjen e të Dhënave Personale”, autoriteti mbikëqyrës duket se ka hyrë në një fazë të re të veprimtarisë së tij, ku fokusi po zhvendoset nga edukimi dhe orientimi drejt zbatimit efektiv të ligjit.
Procedurat administrative të përfunduara së fundmi nga Zyra e Komisionerit për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale kanë çuar në vendosjen e sanksioneve administrative me një vlerë totale rreth 1 milion euro për 3 kompani, niveli më i lartë i masave administrative të vendosura deri më sot nga institucioni.
Sanksionet janë vendosur ndaj subjekteve që ushtrojnë aktivitet në sektorin e ndërtimit dhe atë farmaceutik, pas konstatimit të shkeljeve të parashikuara nga legjislacioni në fuqi për mbrojtjen e të dhënave personale.
Ky zhvillim vjen në një moment kur Shqipëria po zbaton një nga ligjet më të rëndësishme të viteve të fundit në fushën e mbrojtjes së të dhënave personale. Ligji nr. 124/2024, ka sjellë standarde të reja përgjegjshmërie për çdo subjekt publik apo privat që mbledh, ruan, përdor apo përpunon të dhëna personale.
Analiza Ligjore sipas Ligjit Nr. 124/2024 & Praktikës së Komisionerit (IDP)
Ligji i ri nr. 124/2024 “Për mbrojtjen e të dhënave personale” sjell një përafrim të plotë të Shqipërisë me Rregulloren e Përgjithshme të BE-së (GDPR). Në fokus të inspektimeve dhe vendimeve të fundit administrative të Komisionerit janë identifikuar shkelje thelbësore që lidhen drejtpërdrejt me:
- Nenin 5 & 6 (Parimet e Përpunimit dhe Ligjshmëria): Ndalimi i përpunimit të të dhënave pa bazë të qartë ligjore ose pa pëlqim të vlefshëm e të dokumentuar (Neni 7).
- Nenin 12 & 13 (Transparenca dhe Informimi): Detyrimi për njoftime të qarta mbi privatësinë para fillimit të mbledhjes së të dhënave.
- Nenin 21 (E Drejta e Kundërshtimit): E drejta e qytetarëve për të refuzuar përpunimin për qëllime marketingu, profilizimi apo monitorimi.
- Nenin 35 & 36 (Masat Teknike dhe Organizative të Sigurisë): Mungesa e enkriptimit, fjalëkalimeve të sigurta dhe aksesit të kontrolluar.
- Nenin 41 & 42 (Nëpunësi për Mbrojtjen e të Dhënave – DPO): Detyrimi për caktimin e një DPO-je me njohuri profesionale të vërtetuara për kontrolluesit me volum të lartë të dhënash.
- Nenin 95 (Sanksionet Administrative): Penalitetet financiare mund të arrijnë deri në 2 miliardë lekë ose deri në 4% të xhiros vjetore globale të vitit financiar paraardhës.
Matrica e Detyrimeve dhe Rreziqeve për Kontrolluesit
| Kërkesa Ligjore | Baza sipas Ligjit 124/2024 | Niveli i Rrezikut | Veprimi i Rekomanduar nga Studio EON |
|---|---|---|---|
| Pëlqimi i Përdoruesit | Nenet 6 & 7 | Kritik (P0) | Formularë pëlqimi me ‘opt-in’ aktiv dhe ruajtje e provës. |
| Sistemet e Kamerave (CCTV) | Udhëzimi i IDP & Neni 35 | I Lartë (P1) | Njoftim vizual në hyrje, ndalim i monitorimit të zonave të pushimit të stafit. |
| Caktimi i DPO-së | Neni 41 | I Lartë (P1) | Outsourcing ose trajnim i brendshëm i certifikuar. |
| Regjistri i Përpunimit (RoPA) | Neni 30 | Mesatar (P2) | Hartimi i plotë i inventarit të bazave të të dhënave. |
Udhëzuesi Praktik i EON: Çfarë Duhet të Ndërmarrë Menjëherë Organizata Juaj?
Për t’u përshtatur me kërkesat e reja dhe për të minimizuar rrezikun e masave administrative apo dëmtimit të reputacionit, EON rekomandon një plan veprimi të strukturuar në tri faza:
- Faza P0 (Urgjente – Brenda 15 Ditëve): Kryerja e një GAP Analysis të menjëhershëm për të identifikuar zonat e ekspozuara; pezullimi i formave të paligjshme të mbledhjes së të dhënave (p.sh. video-survejimi i paautorizuar ose mungesa e njoftimeve).
- Faza P1 (Strukturore – Brenda 45 Ditëve): Hartimi i Politikave të Përditësuara të Privatësisë, caktimi formal i Nëpunësit për Mbrojtjen e të Dhënave (DPO), dhe nënshkrimi i Marrëveshjeve për Përpunimin e të Dhënave (DPA) me të gjithë nënkontraktorët.
- Faza P2 (Konsolidim – Brenda 90 Ditëve): Testimi teknik i sigurisë së sistemeve, certifikimi me standardet ndërkombëtare (si ISO/IEC 27001), dhe trajnimi i detyrueshëm i të gjithë stafit të përfshirë në menaxhimin e të dhënave.
Pyetje të Shpeshta (FAQ) mbi Zbatimin e Ligjit
1. A mjafton një politikë privatësie në uebsajt për të shmangur gjobat?
Jo. Komisioneri verifikon zbatimin faktik operacional (masat teknike, ruajtjen e sigurt, marrëveshjet DPA me përpunuesit e jashtëm). Politika në faqe është vetëm 10% e përputhshmërisë.
2. Çfarë ndodh nëse një biznes nuk cakton DPO kur e ka detyrim?
Mungesa e DPO-së përbën shkelje direkte administrative që sipas Ligjit 124 ndëshkohet me gjoba të shkallëzuara deri në ndalimin e përpunimit të të dhënave.
Keni Nevojë për Auditimin e Përputhshmërisë së Kompanisë Suaj?
Ekspertët ligjorë dhe teknikë të EON ju mbështesin në zbatimin e plotë të Ligjit 124/2024, Ligjit 25/2024 (NIS2), kërkesave të Komisionerit dhe standardeve ISO 27001.
