)
Ligji për mbrojtjen e të dhënave personale në Shqipëri: Çfarë duhet të dini?
Mbrojtja e të dhënave personale është bërë një nga çështjet më të rëndësishme për bizneset dhe organizatat që mbledhin, përdorin ose ruajnë informacion për individë.
Në Shqipëri, kuadri ligjor në këtë fushë është modernizuar ndjeshëm me miratimin e Ligjit nr. 124/2024 “Për mbrojtjen e të dhënave personale”, i cili përafron plotësisht legjislacionin shqiptar me Rregulloren e Përgjithshme Evropiane për Mbrojtjen e të Dhënave (GDPR), si dhe me Direktivën e BE-së për përpunimin e të dhënave nga autoritetet kompetente për qëllime të zbatimit të ligjit.
Ligji nr. 124/2024 hyri në fuqi në shkurt 2025 dhe zëvendësoi ligjin e mëparshëm nr. 9887/2008 “Për mbrojtjen e të dhënave personale”.
Por çfarë do të thotë ky ligj për një biznes shqiptar?
Çfarë detyrimesh ka një kompani?
A mjafton një Privacy Policy?
Kur nevojitet një DPO?
Dhe çfarë rrezikon një biznes që nuk respekton rregullat?
Në këtë artikull i shpjegojmë këto çështje në mënyrë të thjeshtë dhe praktike.
Çfarë është Ligji nr. 124/2024?
Ligji nr. 124/2024 është ligji kryesor shqiptar që rregullon mbrojtjen e individëve në lidhje me përpunimin e të dhënave të tyre personale.
Qëllimi i tij është mbrojtja e të drejtave dhe lirive themelore të individëve, veçanërisht e drejta për mbrojtjen e të dhënave personale.
Ligji përcakton rregulla për mënyrën se si të dhënat personale:
mblidhen;
regjistrohen;
ruhen;
përdoren;
transmetohen;
shpërndahen;
fshihen;
mbrohen.
Me fjalë të thjeshta, ligji i vendos biznesit një përgjegjësi të qartë:
Nëse përpunon të dhëna personale, duhet të dish çfarë po përpunon, pse po e përpunon, mbi çfarë baze ligjore dhe si po e mbron atë informacion.
A është Ligji 124/2024 i njëjtë me GDPR?
Jo, nuk janë i njëjti akt ligjor.
GDPR është Rregullorja e Bashkimit Evropian 2016/679.
Ligji nr. 124/2024 është ligji shqiptar.
Megjithatë, ligji shqiptar është përafruar plotësisht me GDPR-në. Kjo do të thotë se shumë nga konceptet dhe standardet që bizneset njohin nga GDPR gjenden tashmë në kuadrin ligjor shqiptar.
Për këtë arsye, termi “GDPR në Shqipëri” përdoret shpesh në praktikë për të përshkruar standardet moderne të mbrojtjes së të dhënave.
Megjithatë, për një biznes që operon në Shqipëri, analiza duhet të nisë nga Ligji nr. 124/2024 dhe aktet përkatëse shqiptare.
Nëse biznesi ka gjithashtu aktivitet që hyn në fushën territoriale të GDPR-së, mund të ketë detyrime edhe sipas GDPR-së.
Kur zbatohet Ligji 124/2024?
Ligji zbatohet për përpunimin e të dhënave personale, përfshirë përpunimin me mjete automatike dhe përpunimin e të dhënave që janë pjesë e një sistemi arkivimi ose synojnë të bëhen pjesë e tij.
Në aspektin territorial, ligji zbatohet, ndër të tjera, për përpunimin e të dhënave në kuadër të veprimtarisë së një kontrolluesi ose përpunuesi të vendosur në Shqipëri, edhe nëse përpunimi zhvillohet jashtë territorit shqiptar. Ai mund të zbatohet gjithashtu ndaj subjekteve jashtë Shqipërisë kur përpunimi lidhet me ofrimin e mallrave ose shërbimeve për persona në Shqipëri ose me monitorimin e sjelljes së tyre në Shqipëri.
Kjo ka rëndësi të madhe për bizneset që përdorin:
platforma online;
shërbime cloud;
CRM;
software për marketing;
platforma pagesash;
mjete analitike;
ofrues të huaj shërbimesh.
Çfarë konsiderohet e dhënë personale?
Ligji e përkufizon të dhënën personale si çdo informacion në lidhje me një subjekt të të dhënave. Një person konsiderohet i identifikueshëm edhe nëpërmjet faktorëve si emri, numri i identifikimit, të dhënat e vendndodhjes ose një identifikues në internet.
Në një biznes, të dhëna personale mund të jenë:
emri dhe mbiemri;
numri i telefonit;
adresa e email-it;
adresa;
numri i identifikimit;
të dhënat e punonjësve;
të dhënat e klientëve;
të dhënat e aplikantëve për punë;
të dhënat e vendndodhjes;
identifikuesit online;
fotografitë;
regjistrimet video;
të dhëna biometrike;
të dhëna shëndetësore;
të dhëna të tjera që lidhen me një individ.
Pra, një biznes mund të përpunojë shumë më tepër të dhëna personale nga sa mendon në fillim.
Cilat janë parimet kryesore të Ligjit 124/2024?
Një nga pjesët më të rëndësishme të ligjit janë parimet që duhet të respektohen gjatë përpunimit të të dhënave personale.
1. Ligjshmëria, drejtësia dhe transparenca
Të dhënat duhet të përpunohen në mënyrë të ligjshme, të drejtë dhe transparente ndaj subjektit të të dhënave.
Biznesi duhet të jetë në gjendje t'i shpjegojë individit se çfarë po bën me të dhënat e tij.
2. Kufizimi i qëllimit
Të dhënat duhet të mblidhen për një qëllim specifik dhe të ligjshëm.
Një kompani nuk duhet të mbledhë të dhëna “për çdo rast” dhe më pas t'i përdorë për qëllime krejtësisht të tjera.
3. Minimizimi i të dhënave
Duhet të mblidhen vetëm të dhënat që janë të përshtatshme dhe të nevojshme për qëllimin e përpunimit.
4. Saktësia
Të dhënat duhet të jenë të sakta dhe të përditësuara kur kjo është e nevojshme.
5. Kufizimi i ruajtjes
Të dhënat nuk duhet të ruhen për më gjatë sesa është e nevojshme për qëllimin për të cilin përpunohen.
6. Integriteti dhe konfidencialiteti
Biznesi duhet të marrë masa të përshtatshme teknike dhe organizative për të mbrojtur të dhënat nga aksesi i paautorizuar, humbja, shkatërrimi ose dëmtimi.
7. Përgjegjshmëria
Nuk mjafton që një kompani të thotë se “respekton privatësinë”.
Ajo duhet të jetë në gjendje të demonstrojë përputhshmërinë me parimet e ligjit.
Mbi çfarë baze ligjore mund të përpunohen të dhënat?
Një nga gabimet më të zakonshme është mendimi se çdo përpunim i të dhënave kërkon pëlqimin e individit.
Kjo nuk është e saktë.
Ligji parashikon disa kritere ligjore për përpunimin e të dhënave personale, ndër të tjera:
pëlqimin e subjektit;
nevojën për përmbushjen e një kontrate;
përmbushjen e një detyrimi ligjor;
mbrojtjen e interesave jetikë;
përmbushjen e një detyre në interes publik;
interesin e ligjshëm, kur kushtet përkatëse plotësohen.
Kjo do të thotë se një biznes duhet të përcaktojë bazën ligjore për çdo aktivitet të rëndësishëm përpunimi, në vend që të përdorë automatikisht “pëlqimin” për çdo situatë.
Çfarë detyrimesh ka një biznes shqiptar?
Ligji vendos një sërë detyrimesh mbi kontrolluesit dhe përpunuesit.
Në praktikë, një biznes duhet të ketë një pamje të qartë të mënyrës se si të dhënat qarkullojnë brenda organizatës.
Për shembull:
Klienti → Website → CRM → Punonjësi → Kontabiliteti → Ofruesi i shërbimit
Çdo hallkë e këtij procesi mund të ketë rëndësi për mbrojtjen e të dhënave.
Dokumentimi i aktiviteteve të përpunimit
Ligji kërkon që kontrolluesit të mbajnë dokumentacion për aktivitetet e tyre të përpunimit në mënyrë që të jenë në gjendje të demonstrojnë përputhshmërinë.
Dokumentacioni mund të përfshijë:
qëllimet e përpunimit;
kategoritë e subjekteve të të dhënave;
kategoritë e të dhënave;
marrësit e të dhënave;
transferimet ndërkombëtare;
afatet e ruajtjes;
masat teknike dhe organizative të sigurisë.
Për bizneset, ky dokumentacion është një nga elementet më të rëndësishme të një programi real të përputhshmërisë.
A duhet çdo biznes të mbajë dokumentacion?
Jo çdo biznes ka të njëjtin nivel detyrimi.
Ligji parashikon një përjashtim për shoqëritë tregtare dhe organizatat me më pak se 250 punonjës, por ky përjashtim nuk zbatohet nëse përpunimi mund të krijojë rrezik për të drejtat dhe liritë e individëve, nuk është rastësor ose përfshin të dhëna sensitive apo të dhëna penale.
Prandaj, “jemi më pak se 250 punonjës” nuk do të thotë automatikisht se biznesi nuk ka detyrime dokumentimi.
Ky është një dallim shumë i rëndësishëm për SME-të.
Çfarë duhet të bëjë biznesi me përpunuesit?
Shumë biznese përdorin kompani të tjera për të përpunuar të dhënat.
Për shembull:
kompani IT;
platforma cloud;
agjenci marketingu;
kompani payroll;
CRM;
platforma email marketingu;
hostim website-i;
kompani sigurie;
ofrues të shërbimeve të tjera.
Në këto raste, biznesi duhet të vlerësojë nëse pala tjetër është përpunues dhe nëse marrëdhënia është rregulluar në mënyrën e kërkuar nga ligji.
Ligji parashikon që kontrolluesi të përdorë përpunues që ofrojnë garanci të mjaftueshme për zbatimin e masave të përshtatshme teknike dhe organizative. Përpunimi duhet të rregullohet me kontratë, ligj ose akt nënligjor sipas kushteve të parashikuara në ligj.
Pra, nuk mjafton të zgjedhësh një kompani sepse “ka çmim të mirë”.
Duhet të vlerësosh edhe si i trajton ajo të dhënat e biznesit dhe të klientëve të tu.
Si duhet të mbrohen të dhënat personale?
Ligji kërkon masa teknike dhe organizative të përshtatshme me nivelin e rrezikut.
Në varësi të rastit, këto mund të përfshijnë:
enkriptimin;
pseudonimizimin;
kontrollin e aksesit;
menaxhimin e autorizimeve;
kopjet rezervë;
procedurat e rikuperimit;
monitorimin;
testimin e masave të sigurisë;
trajnimin e stafit;
procedurat e reagimit ndaj incidenteve.
Ligji kërkon gjithashtu që mbrojtja e të dhënave të merret parasysh që në projektimin e proceseve dhe sistemeve, si dhe në mënyrë të paracaktuar.
Me fjalë të tjera:
Privatësia nuk duhet të shtohet në fund të projektit. Duhet të mendohet që në fillim.
Çfarë ndodh në rast të një Data Breach?
Një cenim i të dhënave personale mund të ndodhë, për shembull, kur:
një laptop vidhet;
një email me të dhëna personale dërgohet te personi i gabuar;
një llogari hakohet;
të dhënat publikohen pa autorizim;
një databazë aksesohet pa leje;
të dhënat humbasin ose shkatërrohen.
Ligji parashikon që kontrolluesi, në rast cenimi të të dhënave personale, të njoftojë Komisionerin sa më shpejt të jetë e mundur dhe jo më vonë se 72 orë pasi merr dijeni për cenimin, përveç rasteve kur nuk ka gjasa që cenimi të rrezikojë të drejtat dhe liritë e subjekteve të të dhënave.
Përpunuesi duhet ta njoftojë kontrolluesin menjëherë pasi merr dijeni për cenimin.
Në raste kur rreziku për individët është i lartë, mund të kërkohet edhe komunikimi i cenimit me vetë subjektet e të dhënave. Gjithashtu, kontrolluesi duhet të dokumentojë cenimet dhe masat korrigjuese të ndërmarra.
Kjo është arsyeja pse çdo biznes duhet të ketë një procedurë për menaxhimin e Data Breach, jo të fillojë të mendojë çfarë duhet të bëjë vetëm pasi incidenti ka ndodhur.
A duhet biznesi të ketë DPO?
Nëpunësi për Mbrojtjen e të Dhënave, ose DPO, nuk është automatikisht i detyrueshëm për çdo biznes.
Ligji parashikon detyrimin për caktimin e një DPO-je, ndër të tjera, kur:
përpunimi kryhet nga një autoritet ose organ publik, me përjashtimet e parashikuara;
aktivitetet kryesore përfshijnë monitorim të rregullt dhe sistematik të subjekteve në shkallë të gjerë;
aktivitetet kryesore përfshijnë përpunim në shkallë të gjerë të të dhënave sensitive ose të të dhënave penale.
DPO-ja këshillon drejtimin, merr pjesë në vlerësimet e ndikimit, informon dhe trajnon stafin, monitoron përputhshmërinë dhe shërben si pikë kontakti me Komisionerin.
DPO-ja mund të jetë një punonjës i organizatës ose një person me të cilin lidhet kontratë shërbimi, për sa kohë plotësohen kërkesat përkatëse dhe shmanget konflikti i interesit.
Çfarë është DPIA?
DPIA, ose Vlerësimi i Ndikimit në Mbrojtjen e të Dhënave, është një proces për vlerësimin e rreziqeve që një aktivitet përpunimi mund të krijojë për të drejtat dhe liritë e individëve.
Ligji parashikon DPIA veçanërisht kur një përpunim, duke përfshirë përdorimin e teknologjive të reja, mund të krijojë rrezik të lartë. Shembujt përfshijnë vlerësime të automatizuara dhe profilizim me pasoja të rëndësishme, përpunimin në shkallë të gjerë të të dhënave sensitive ose penale dhe monitorimin sistematik të zonave publike në shkallë të gjerë.
Kujdes: disa dispozita të lidhura me DPIA-në, përfshirë nenin 31, kanë hyrje në fuqi të shtyrë me dy vjet nga botimi i ligjit në Fletoren Zyrtare. Zyra e Komisionerit ka sqaruar se detyrimi për DPIA sipas nenit 31 hyn në fuqi në janar 2027.
Kjo është një pikë që bizneset duhet ta kenë në radar dhe të mos e lënë për momentin e fundit.
Cilat janë të drejtat e individëve?
Ligji i njeh individit një sërë të drejtash në lidhje me të dhënat e tij personale.
Në varësi të rrethanave, këto përfshijnë të drejta për:
informim;
akses;
korrigjim;
fshirje;
kufizim të përpunimit;
kundërshtim;
ushtrimin e të drejtave të tjera të parashikuara nga ligji.
Biznesi duhet të ketë procedura për t'iu përgjigjur kërkesave të tilla dhe t'i komunikojë individit informacionin në mënyrë të qartë, transparente, të kuptueshme dhe lehtësisht të aksesueshme.
Kjo do të thotë se një kompani nuk mund të mjaftohet vetëm me publikimin e një Privacy Policy.
Duhet të jetë në gjendje edhe të zbatojë në praktikë të drejtat që përshkruan në të.
A duhet një biznes të ketë Privacy Policy?
Në shumë raste, biznesi duhet të informojë individët për mënyrën se si përpunohen të dhënat e tyre.
Ligji kërkon që kontrolluesi t'u japë subjekteve të të dhënave, ndër të tjera, informacion mbi:
identitetin dhe kontaktet e kontrolluesit;
kontaktet e DPO-së, kur është e zbatueshme;
qëllimet e përpunimit;
bazën ligjore;
të drejtat e individit;
afatet e ruajtjes, kur kërkohet;
kategoritë e marrësve;
informacione të tjera të nevojshme.
Prandaj, një Privacy Policy e hartuar mirë mund të jetë një pjesë e rëndësishme e transparencës së biznesit.
Por:
Privacy Policy ≠ GDPR Compliance.
Përputhshmëria është shumë më e gjerë.
Çfarë ndodh me marketingun dhe email-et?
Marketingu është një nga fushat ku bizneset mund të bëjnë gabime të shpeshta.
Ligji parashikon rregulla specifike për përpunimin e të dhënave në kuadër të marketingut të drejtpërdrejtë. Në rrethana të caktuara, përpunimi mund të bazohet në interesin e ligjshëm, ndërsa për të dhënat sensitive për marketingun e drejtpërdrejtë kërkohet pëlqimi i shprehur. Subjekti i të dhënave ka gjithashtu të drejtë të kundërshtojë përpunimin për marketing të drejtpërdrejtë.
Prandaj, para se një kompani të blejë një listë kontaktesh ose të fillojë një fushatë masive email-esh, duhet të analizojë:
Nga kanë ardhur të dhënat?
Për çfarë qëllimi janë mbledhur?
A ekziston baza ligjore për përdorimin e tyre?
A është individi informuar?
A mund të kundërshtojë marketingun?
Po cookies dhe website-i?
Një website modern mund të përpunojë shumë të dhëna personale.
Për shembull:
formularët e kontaktit;
llogaritë e përdoruesve;
adresat IP;
analitika;
cookies;
newsletter;
chat-et;
reklamat e personalizuara;
pagesat online.
Për këtë arsye, një auditim i mbrojtjes së të dhënave duhet të përfshijë edhe website-in.
Një kompani duhet të dijë se çfarë teknologjish përdor website-i, çfarë të dhënash mblidhen, për çfarë qëllimi dhe me cilët ofrues ndahen.
Po CCTV?
Edhe sistemet e video-survejimit përfshihen në fushën e mbrojtjes së të dhënave personale.
Zyra e Komisionerit ka publikuar tashmë udhëzime sipas Ligjit nr. 124/2024, përfshirë udhëzimin për përpunimin e të dhënave personale nga sistemet e video-survejimit dhe modelin standard të tabelës informuese.
Kjo është veçanërisht e rëndësishme për:
dyqane;
zyra;
hotele;
restorante;
qendra tregtare;
fabrika;
magazina;
institucione;
ambiente të tjera ku përdoren kamera.
Çfarë ndodh me transferimet ndërkombëtare?
Shumë kompani shqiptare përdorin shërbime të huaja.
Për shembull:
Google Workspace;
Microsoft 365;
cloud hosting;
CRM ndërkombëtare;
platforma marketingu;
sisteme pagesash;
platforma analitike.
Në këto raste mund të kemi transferim të të dhënave personale jashtë Shqipërisë.
Ligji ka një kapitull të veçantë për transferimet ndërkombëtare dhe kërkon që niveli i mbrojtjes së të dhënave të mos cenohet nga transferimi. Transferimi lejohet kur ekziston një nivel i mjaftueshëm mbrojtjeje ose kur sigurohen garanci të përshtatshme sipas ligjit.
Prandaj, një biznes duhet të dijë ku ndodhen realisht të dhënat e tij, jo vetëm ku ndodhet kompania që i shet shërbimin.
Cilat janë gjobat për shkeljen e Ligjit 124/2024?
Ligji parashikon sanksione administrative për shkeljet.
Në varësi të llojit të shkeljes, gjoba mund të arrijë deri në:
1 miliard lekë ose 2% të xhiros totale vjetore globale, cilado që është më e lartë;
ose, për shkelje të tjera më të rënda:
2 miliardë lekë ose 4% të xhiros totale vjetore globale, cilado që është më e lartë.
Këto janë kufijtë maksimalë të parashikuar nga ligji, jo një gjobë automatike që zbatohet për çdo shkelje.
Në përcaktimin e sanksionit merren parasysh rrethana të tilla si natyra dhe rëndësia e shkeljes, kohëzgjatja, numri i subjekteve të prekura, dëmi i shkaktuar, nëse shkelja është kryer me dashje ose nga pakujdesia, masat e marra për zbutjen e dëmit dhe niveli i bashkëpunimit me Komisionerin.
Kush mbikëqyr zbatimin e ligjit?
Autoriteti i pavarur përgjegjës për mbikëqyrjen e mbrojtjes së të dhënave personale në Shqipëri është Komisioneri për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale.
Komisioneri ka kompetenca hetimore, korrigjuese dhe sanksionuese.
Ndër të tjera, mund të kërkojë informacion dhe dokumentacion, të kryejë hetime administrative dhe auditime, të japë rekomandime ose urdhra korrigjues dhe të vendosë sanksione administrative në përputhje me ligjin.
Kjo do të thotë se përputhshmëria nuk duhet të trajtohet si një formalitet.
Çfarë duhet të bëjë një biznes për të filluar përputhshmërinë?
Nëse një kompani dëshiron të fillojë procesin e përputhshmërisë me Ligjin nr. 124/2024, një pikënisje praktike është:
1. Identifikoni të gjitha të dhënat personale
Krijoni një listë të të dhënave që mbledh biznesi.
2. Identifikoni proceset
Përcaktoni ku përdoren të dhënat:
shitje;
marketing;
HR;
kontabilitet;
website;
CCTV;
customer support;
kontrata;
etj.
3. Përcaktoni bazën ligjore
Për çdo aktivitet përpunimi duhet të kuptohet mbi çfarë baze ligjore kryhet.
4. Kontrolloni afatet e ruajtjes
Mos ruani të dhëna pafundësisht pa një arsye të përcaktuar.
5. Kontrolloni kontratat me përpunuesit
Identifikoni kompanitë e jashtme që kanë akses në të dhënat personale.
6. Kontrolloni masat e sigurisë
Vlerësoni akseset, pajisjet, sistemet, backup-et dhe procedurat e reagimit ndaj incidenteve.
7. Kontrolloni Privacy Policy dhe njoftimet
Sigurohuni që individët marrin informacionin që kërkon ligji.
8. Krijoni procedura për të drejtat e individëve
Biznesi duhet të jetë në gjendje të trajtojë kërkesat për akses, korrigjim, fshirje, kufizim, kundërshtim dhe të drejta të tjera të aplikueshme.
9. Krijoni procedurë për Data Breach
Mos prisni që një incident të ndodhë për të vendosur kush duhet të reagojë.
10. Vlerësoni nëse nevojitet DPO
Detyrimi për DPO duhet të analizohet sipas aktivitetit dhe mënyrës së përpunimit.
A është mjaftueshëm të kesh disa dokumente?
Jo.
Një nga gabimet më të zakonshme të bizneseve është të mendojnë:
“Kam Privacy Policy, një formular pëlqimi dhe një kontratë. Jam në rregull.”
Përputhshmëria nuk funksionon kështu.
Dokumentet duhet të pasqyrojnë mënyrën se si biznesi funksionon realisht.
Nëse një kompani shkruan në Privacy Policy se të dhënat fshihen pas një periudhe të caktuar, por në praktikë i ruan pafundësisht, dokumenti nuk e zgjidh problemin.
Nëse kompania deklaron se të dhënat janë të mbrojtura, por të gjithë punonjësit kanë akses të pakufizuar, problemi mbetet.
Compliance duhet të jetë praktik, jo vetëm dokumentar.
Çfarë duhet të kuptojë çdo biznes shqiptar?
Ligji nr. 124/2024 e sjell mbrojtjen e të dhënave personale në një nivel shumë më të strukturuar dhe të përafruar me standardet evropiane.
Për një biznes shqiptar, pyetjet kryesore nuk duhet të jenë:
“A kam një Privacy Policy?”
ose
“A jam një biznes i vogël?”
Pyetjet më të rëndësishme janë:
Çfarë të dhënash personale përpunoj?
Pse i përpunoj?
Cila është baza ligjore?
Sa kohë i ruaj?
Kush ka akses?
Me kë i ndaj?
A transferohen jashtë Shqipërisë?
Si i mbroj?
Çfarë ndodh nëse ka një Data Breach?
A mund ta provoj që jam në përputhje me ligjin?
Nëse nuk mund t'u përgjigjeni këtyre pyetjeve, biznesi juaj ka nevojë për një vlerësim më të detajuar të përputhshmërisë.
Përfundim
Ligji nr. 124/2024 “Për mbrojtjen e të dhënave personale” nuk është thjesht një ligj për dokumentet e privatësisë.
Ai prek mënyrën se si bizneset mbledhin, përdorin, ruajnë, ndajnë dhe mbrojnë të dhënat personale.
Përputhshmëria kërkon një kombinim të:
proceseve;
dokumentacionit;
kontratave;
sigurisë;
trajnimit;
transparencës;
menaxhimit të të drejtave të individëve;
menaxhimit të incidenteve;
vlerësimit të rrezikut.
Dhe mbi të gjitha, kërkon që mbrojtja e të dhënave të bëhet pjesë e mënyrës se si funksionon biznesi.
GDPR Albania ju ndihmon të kuptoni dhe zbatoni kërkesat e Ligjit nr. 124/2024, duke identifikuar rreziqet, dokumentuar proceset dhe ndërtuar një sistem praktik të mbrojtjes së të dhënave personale.
Nëse nuk jeni të sigurt nëse biznesi juaj është në përputhje me kërkesat ligjore, hapi i parë është një vlerësim i përputhshmërisë së të dhënave personale.
Pyetje të shpeshta
Çfarë është Ligji 124/2024?
Ligji nr. 124/2024 është kuadri kryesor shqiptar për mbrojtjen e të dhënave personale dhe rregullon përpunimin e të dhënave personale nga kontrolluesit dhe përpunuesit në fushën e tij të zbatimit.
Kur hyri në fuqi Ligji 124/2024?
Ligji u miratua më 19 dhjetor 2024 dhe hyri në fuqi në shkurt 2025. Disa dispozita specifike kanë hyrje në fuqi të shtyrë me dy vjet.
A është Ligji 124/2024 i njëjtë me GDPR?
Jo. Ligji 124/2024 është ligji shqiptar, ndërsa GDPR është rregullore e Bashkimit Evropian. Ligji shqiptar është përafruar plotësisht me GDPR-në.
A duhet çdo biznes shqiptar të ketë DPO?
Jo. Detyrimi për të caktuar një DPO varet nga natyra, qëllimet dhe shkalla e përpunimit të të dhënave dhe nga kriteret e përcaktuara në ligj.
A mjafton Privacy Policy për të qenë në përputhje me Ligjin 124/2024?
Jo. Privacy Policy është vetëm një pjesë e transparencës. Përputhshmëria përfshin edhe bazën ligjore, proceset, dokumentimin, sigurinë, kontratat, të drejtat e individëve, menaxhimin e incidenteve dhe detyrime të tjera të aplikueshme.
Sa është gjoba për shkeljen e Ligjit 124/2024?
Në varësi të shkeljes, ligji parashikon gjoba deri në 1 miliard lekë ose 2% të xhiros totale vjetore globale dhe, për shkelje të caktuara, deri në 2 miliardë lekë ose 4% të xhiros totale vjetore globale, cilado që është më e lartë.
Çfarë është Data Breach?
Data Breach, ose cenimi i të dhënave personale, është një cenim i sigurisë që mund të shkaktojë shkatërrimin, humbjen, ndryshimin, përhapjen ose aksesin e paautorizuar të të dhënave personale.
Sa kohë ka një biznes për të njoftuar Komisionerin për një Data Breach?
Kur ekziston detyrimi për njoftim, kontrolluesi duhet të njoftojë Komisionerin sa më shpejt të jetë e mundur dhe jo më vonë se 72 orë pasi merr dijeni për cenimin.
A duhet një biznes i vogël të respektojë Ligjin 124/2024?
Po. Madhësia e biznesit nuk e përjashton automatikisht nga detyrimet për mbrojtjen e të dhënave. Përjashtimet specifike që lidhen me dokumentimin për organizatat me më pak se 250 punonjës kanë kushte dhe përjashtime të përcaktuara në ligj.